「你好」一声，Codex 就开始推销了：装了个越狱包，agent 被改成广告位

你跟 Codex 打声招呼说“hi”，它回你一句问候，顺便给你推了个付费网关。这不是模型抽风，是有人在它的配置文件里写了广告。

事情是这样的。安全研究者 11 月 4 日公布了一项发现：一个叫 Haiou（海鸥）的 Codex 越狱包，会改写 Codex 的全局指令文件，让 agent 在你每次打招呼时推广作者自己的付费服务。这个包的 GitHub 仓库今年 7 月 10 日就发布了，研究时有 403 个 star、77 个 fork；它还被打包进了一个叫 Codex-X 的中文桌面工具里——很多人装 Codex-X 的时候，可能根本没见过这个包的名字。

它一共干三件事。第一，越狱：用角色扮演、把攻击性安全请求包装成 CTF 练习的办法，让 Codex 更愿意配合。第二，装技能：给 Codex 加上渗透测试、密码破解、逆向工程一类的“技能”。第三，也是最关键的一件：改 Codex 的全局指令文件，往里面加一句话，让 agent 此后在回答里给作者的服务打广告。

广告推的是一个“OpenAI 兼容 LLM 网关”，一个收钱的中介服务，域名是 zz.aiapi2025.top。触发条件简单到离谱：你说“hi”“hello”“hey”“yo”“are you there?”，或者提到触发词“Seagull”，推广就会出现。在用户看来，这话像是 Codex 自己说的。

研究者的判断是，这个免费包就是付费网关的获客漏斗：Codex 在中国大陆没有正式提供，一个能接西方编码模型的中介服务，在那儿有现成的市场。研究者还警告了一句，同时强调自己缺乏有力证据：这类转售网关“可能比看起来更钓鱼”，比如转售用被盗的 LLM API key 买来的访问。

这件事为什么值得你认真看？因为它用的手法，和这个月另外两件事是同一条线。11 月 5 日 Apiiro 的研究：Claude Code 的“别再问我”把含密钥的命令写进配置文件，2,539 个密钥出现在公开仓库（站里 11 月 9 日 05:00 轮发过）。10 月 22 日 Forever Security 的报告：下载文件夹里一个伪装成工程笔记的 AGENTS.md，能让 agent 差点装上恶意 npm 包。加上今天的 Haiou，三件事的攻击面是同一个：agent 无条件信任的文本文件。

但 Haiou 和前两者有个区别，值得单独拎出来说。前两者是“偷你的东西”，Haiou 是“借你的 agent 卖东西”。它不偷不抢，用户甚至可能以为是 Codex 官方推荐——温和，所以更难发现。研究者给这个手法起了个名字，叫“提示词广告”（prompt adware）：传统广告软件是二进制、浏览器插件、注入脚本，杀毒软件和代码审查就是为抓它们而生的；提示词广告只是几句写在配置文件里的话，没有二进制可扫描，用户很少读 agent 的全局指令，行为看起来又像是模型自己的输出。

真正的风险不在这次的广告本身，而在“这条路被证明走得通”。今天是指令文件里的一句广告，明天换个更恶意的作者，同样的位置可以写：插一个依赖、弱化一次安全检查、把代码发到外部端点、推荐一个收割 API key 的“网关”。指令文件说什么，agent 就当成是你的意图——这句话本身没有变，变的是写那句话的人是谁。

如果你用 Codex，今晚花两分钟自查。打开终端跑：grep -RinE 'seagull|haiou|aiapi2025|gateway|advert' ~/.codex/，项目里的 AGENTS.md 也同样查一遍。装过 Haiou 或 Codex-X 的，删掉它，从干净副本恢复指令文件；在 DNS 或代理层封掉 zz.aiapi2025.top；如果流量或 API key 走过非官方网关，key 要轮换一遍。往后记住一条：agent 的配置文件就是代码——进版本控制，改动走 review，陌生包先读再装。越狱包这东西，设计上就是让你信任它的作者、而不是信任厂商的，装在工作机上之前，先想想这笔信任账划不划算。

这个结论不成立的情形：如果你从不装第三方配置包，技能只用官方来源，这篇跟你没关系。但如果你团队里有人装过 Codex-X 或者类似的中文配置工具，值得转发给他们自查一次。以及别把这件事写成“中毒”——Haiou 的广告本身是轻度的，真正的风险是下一个包。