OpenAI Codexの指示を繰り返し書き換え、作者の商用サービスを宣伝するAIジェイルブレイクパッケージが見つかりました。ガードレール回避ツールが広告インフラとしても機能し得ることを示す事例です。
中国語のバンドル「Haiou」は、サイバー犯罪者の誤設定されたWebサーバー上で、Cobalt Strikeやペネトレーションテスト用ユーティリティとともに発見されました。
11月3日に公開された調査は、この手法を「プロンプト・アドウェア」と位置づけています。信頼されたエージェントの指示を改変し、商業的あるいは行動面の目的で将来の応答に影響を与えるものです。
従来のアドウェアとは異なり、広告の仕組みは実行可能な広告ペイロードではなく、設定アーティファクトに埋め込まれた自然言語によって動作します。
研究者は、中国語を話す個人のパソコンが侵害されたことを示すCobalt Strikeのログも確認しました。同じサーバーでは、LadonとVulnClawもホストされていました。
これらの存在は、デュアルユースツールが犯罪者に採用されていることを示しています。ただし、Haiouの作者とサイバー犯罪を結びつける証拠は見つかっていません。
同パッケージの6つのSkillsは、ペネトレーションテスト、リバースエンジニアリング、ソフトウェアライセンスのセキュリティ、メモリ解析、ラボ演習、ゲームのセキュリティを対象としています。
Securitysoftware
パッケージはGitHubで公開されています。ユーザーhaiou-666がCodex版とClaude Code版の両方をホストしていますが、執筆時点で残っているのはCodex版のみです。
Check Pointの分析によると、Haiou 4.5.0パッケージは、中国語の技術系ペルソナ、モジュール式プロンプト、セキュリティ特化のSkillsを組み合わせたローカル版Codex強化ツールを装っています。
Securitysoftware
AIジェイルブレイクバンドル
Windows、Linux、macOS向けのランチャーは、Ed25519署名とSHA-256ハッシュでパッケージ化されたペイロードを検証します。その後、埋め込まれたAES-256-GCM鍵で復号します。
得られたZIPアーカイブは、一時的に展開されます。このパッケージ化により、リポジトリを簡単に調べただけではプロンプトの内容が分からなくなります。研究者は、自動スキャンを避ける狙いがある可能性を指摘していますが、動機が確認されたわけではありません。
ジェイルブレイクモジュールは、ロールプレイ、拒否の抑制、文脈の再設定を組み合わせています。拒否の文言をブラックリストに入れたり、許可の確認をさせないようにしたりするものがあります。別のモジュールは、攻撃的なセキュリティ要求を教育目的のCapture The Flag演習として言い換えます。
これらの指示は安全対策を弱めようとするものですが、含まれているからといって、あらゆる状況で回避に成功するとは限りません。
広告の指示は00-identity.mdに置かれ、グローバルなエージェント指示ファイルへと広がります。
「hi」「hello」「ctf」「coach」といった挨拶や起動ワードが引き金となり、所定の「Seagull」の決め台詞が表示されます。続いて、zz.aiapi2025.topの宣伝が表示されます。
宣伝先は、アプリケーションとモデルプロバイダーの間に入る、OpenAI互換の不透明なLLMゲートウェイです。研究者は、無料のジェイルブレイクが有料ゲートウェイへの集客経路になっているとみています。
別のモジュールは、このドメインを「保護されたインフラ」と位置づけます。ユーザーが許可を得ていると主張しても、このドメインへの攻撃的なテストを禁止します。
パッケージにはアンインストーラーも含まれており、元の設定を復元して広告を削除します。
Codex版アーカイブにはCLAUDE.mdにも広告の指示が含まれていましたが、別のHaiou Claudeリポジトリでは広告の挿入は確認されなかったと研究者は報告しています。
Check Pointは、宣伝されているゲートウェイ自体が悪意あるものだという兆候は見つけていません。一方、別の研究「Your Agent Is Mine」は、有料28件と無料400件のLLMルーターを調べました。その結果、9件が返されたツール呼び出しに悪意あるコードを注入していたと特定しています。
また、17件の無料ルーターは、研究者が管理するAWSのカナリア認証情報とやり取りしました。これらの結果は仲介者のリスクを示すものですが、Haiouが宣伝するサービスに関係するわけではありません。
配布は元のリポジトリにとどまらず、Bilibiliでの宣伝やCodex-Xとの統合を通じて広がっています。
Codex-Xのドキュメントには、プロンプト、プロバイダー、Skills、設定ファイルを視覚的に管理できると記載されています。永続的な指示が開発者のワークフローに入り込むのがいかに容易かを示す例といえます。
今回の調査で最も重要なのは、ジェイルブレイクを導入すると、拒否の挙動以外も変わり得る点です。エージェントの信頼された設定内に、永続的な商用の「声」が作られ、広告が以後のセッションへ持ち込まれる可能性があります。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入
AuditSecurity
翻訳元: https://gbhackers.com/ai-jailbreak-bundles/
