코덱스용 Haiou, 특정 입력에 AI 게이트웨이 광고

코덱스용 Haiou 4.5.0 패키지가 인사말과 ctf, coach 등 특정 입력에 제3자 AI 게이트웨이 광고가 나오도록 지침을 바꾼 것으로 드러났다.

체크포인트 리서치(Check Point Research)는 3일 공개한 분석에서 Haiou 4.5.0을 조사했다고 밝혔다. 패키지를 설치한 뒤 특정 문구를 입력하면 광고가 나오도록 설정돼 있었다.

발동 문구에는 hi, hello 같은 인사말뿐 아니라 ctf, coach와 중국어 인사말도 포함됐다. 광고 문구는 zz.aiapi2025.top의 API 중계·게이트웨이를 홍보하는 내용이었다.

광고 지시는 패키지의 00-identity.md 프롬프트 파일에 들어 있었다. 지정된 입력이 들어오면 다른 설명 없이 광고 문구 한 줄만 답하라는 내용이다.

연구진은 코덱스가 실제로 해당 문구를 출력하는 장면을 제시했다. 광고 지침은 설치 뒤에도 적용돼 이후 대화의 응답에 영향을 줄 수 있는 구조다.

패키지 실행 파일은 payload.pkg를 검증·복호화한 뒤 프롬프트 모듈과 보안 관련 스킬 6개를 설치한다. 공개 저장소에서는 설치되는 프롬프트 내용을 평문으로 바로 확인하기 어렵다.

연구진은 프롬프트가 평문으로 드러나지 않도록 한 방식이 자동 스캐너의 탐지를 피하려는 시도일 수 있다고 봤다. 이는 연구진의 추정이며 제작 의도가 확인된 것은 아니다.

오픈AI(OpenAI)의 코덱스 프롬프팅 가이드는 Codex CLI가 AGENTS.md 파일을 찾아 대화 지침에 포함하고 이를 따르도록 설계됐다고 설명한다. Haiou는 에이전트 지침 설정 경로에 광고 문구를 넣었다.

체크포인트 리서치는 신뢰된 지침·스킬·설정 파일을 지속적으로 바꿔 이후 에이전트 응답에 영향을 주는 방식을 ‘프롬프트 애드웨어’라고 불렀다. 이번 사례에서 바뀐 것은 사용자가 설치한 외부 패키지의 설정이다.

Haiou 깃허브(GitHub) 저장소는 코덱스용 패키지를 중국어 기술 응답과 보안 연구 작업 흐름을 더하는 로컬 설정 묶음으로 소개한다. Haiou는 코덱스용과 클로드 코드(Claude Code)용 버전으로 각각 공개됐지만, 연구진이 광고 삽입을 확인한 것은 분석 당시 코덱스용 버전이다.

연구진은 위협 행위자가 운영한 것으로 보는 설정 오류 웹서버에서 Haiou를 발견했다. 같은 서버에는 코발트 스트라이크(Cobalt Strike), Ladon, VulnClaw도 있었다.

코발트 스트라이크 로그에는 중국어 사용자들의 개인용 컴퓨터를 침해한 기록이 담겼다. 연구진은 Haiou 제작자가 사이버범죄에 관여했다는 증거는 없다고 밝혔다.

연구진은 무료 패키지가 유료 게이트웨이로 사용자를 유도하는 경로일 수 있다고 해석했다. 실제 운영자 관계와 수익 구조는 규명하지 못했다.

연구진은 광고 대상 게이트웨이의 악성 행위나 Haiou를 통한 정보 탈취 증거를 제시하지 않았다. 이번 분석에서 확인된 효과는 특정 입력 뒤 코덱스 응답에 광고 문구가 들어가는 것이다.

패키지에는 제거 프로그램도 포함돼 있다. 이 프로그램은 기존 설정을 복구하고 광고 지침을 삭제한다.

본지는 앞서 악성 DLL을 넣은 가짜 챗GPT·클로드 설치 파일의 유포 사례를 보도했다. 이번 Haiou 사례는 설치 파일에 악성 DLL을 넣은 사건과 달리 에이전트의 자연어 지침을 바꿔 광고를 노출했다.