Das Bundle trägt den Namen Haiou (chinesisch für „Möwe") und verändert die Konfigurationsdateien von OpenAI Codex so, dass in nachfolgenden Antworten des Agenten Werbung für die Website des Jailbreak-Autors erscheint. Die Manipulation erfolgt dauerhaft über die globale Anweisungsdatei des Agenten und rein in natürlicher Sprache. Gängige Begrüßungen oder Auslösewörter wie „Seagull", „hi", „hello", „hey", „yo" und „are you there?" lösen anschließend eine Anzeige für „zz.aiapi2025[.]top" aus.
„Der beworbene Dienst ist ein undurchsichtiges, OpenAI-kompatibles LLM-Gateway, also eine Middleware zwischen einer Anwendung und einem LLM-Anbieter", heißt es im technischen Bericht von Check Point Research. „Das wahrscheinliche Geschäftsmodell besteht darin, das kostenlos verteilte Jailbreak-Paket als Akquisekanal für den kostenpflichtigen Gateway-Dienst zu nutzen."
Für den Jailbreak selbst kombiniert Haiou mehrere Techniken der Prompt-Injection, darunter Rollenspiele und das Umdeuten sicherheitsbezogener Anfragen in ein Capture-the-Flag-Szenario. Zusätzlich installiert das Paket sicherheitsnahe Skills für Penetrationstests, Cracking und Reverse Engineering.
Auf GitHub wird „haiou-codex" als „lokales Erweiterungs-Konfigurationspaket" beworben, das Codex um eine „chinesische technische Persönlichkeit und einen Sicherheitsforschungs-Workflow" ergänze. Seit der Veröffentlichung am 10. Juli 2026 wurde das Repository 77-mal geforkt und 403-mal mit einem Stern versehen. Da Codex in Festlandchina offiziell nicht verfügbar ist, richtet sich das Angebot vermutlich an Personen oder Organisationen, die westliche KI-Programmierassistenten ausprobieren wollen.
Verbreitet wird der Jailbreak außerdem als Bestandteil von Codex-X, einem quelloffenen chinesischen Visualisierungswerkzeug, mit dem sich Codex über eine grafische Oberfläche konfigurieren lässt.
„Das Verhalten wird über Anweisungen in natürlicher Sprache und über Konfiguration eingeführt und nicht über eine klassische ausführbare Nutzlast, die Anwender und Sicherheitsteams eher als Softwareverhalten erkennen würden", sagte Pedro Drimel Neto, Leiter des Malware-Analyseteams bei Check Point.
Das bloße Einblenden einer Anzeige wirkt vergleichsweise harmlos. Die Analyse zeigt jedoch, wie ein Angreifer über Skills oder Konfigurationen von Drittanbietern unerwünschtes Verhalten einbringen und damit Angriffe auf die Lieferkette ermöglichen könnte. „Wenn KI-Agenten Teil von Unternehmensumgebungen werden, werden auch die Prompts, Skills und Drittkomponenten, die ihr Verhalten beeinflussen, Teil der Vertrauenskette", so Neto.