Haiou 프롬프트 애드웨어: 코딩 에이전트의 지시 파일에 남은 광고

코딩 에이전트에 외부 설정 묶음을 설치한 뒤 간단한 인사를 했는데 광고가 돌아온다면 어떨까. Check Point Research는 11월 3일 공개한 분석 보고서에서 Codex용 Haiou 4.5.0 번들의 이런 동작을 설명했다. 연구진은 이를 ‘프롬프트 애드웨어’라고 불렀다.

이 사례의 관찰 대상은 해당 번들을 설치한 Codex 환경이다. Codex 자체가 모든 사용자에게 광고를 표시한다거나, 광고 대상 서비스가 악성이라고 확인됐다는 뜻은 아니다.

인사에 광고를 붙인 지시 파일

연구진에 따르면 Haiou는 모델의 안전 제한을 약화하려는 프롬프트와 보안 관련 스킬을 설치하면서 Codex의 전역 지시와 설정도 수정한다. 분석한 4.5.0 버전의 00-identity.md에는 특정 인사나 활성화 문구를 받으면 외부 LLM 게이트웨이를 홍보하는 정해진 답을 출력하라는 지시가 들어 있었다. 연구진은 Codex 세션에서 이 광고 응답을 관찰했다고 밝혔다.

전역 지시 파일의 변경은 한 번의 대화가 끝난 뒤에도 남는다. 개발자가 설치한 스킬과 프롬프트가 이후 세션의 답변에 영향을 줄 수 있다는 뜻이다. 광고는 눈에 띈다. 같은 유형의 지시 변경이 추천이나 작업 방식에 영향을 주는 경우에는 알아차리기 어려울 수 있다. 이 마지막 가능성은 연구진의 일반적인 우려이지 Haiou에서 추가 피해가 확인됐다는 주장은 아니다.

서명 확인과 내용 검토는 다르다

보고서에 따르면 저장소에는 평문 프롬프트 전체 대신 암호화된 묶음이 들어 있었고, 실행기는 서명과 해시를 확인한 뒤 스크립트에 포함된 키로 내용을 복호화했다. 연구진은 자동 탐지를 피하려는 의도일 수 있다고 추측했지만 의도를 입증하지는 않았다. 서명과 해시 검증만으로 설치할 지시의 내용이나 적절성을 판단할 수는 없다.

연구진은 범죄 행위자가 운영하던 서버에서 이 번들을 다른 도구들과 함께 발견했다. 그렇다고 번들 제작자가 범죄에 관여했거나 번들이 그 목적만으로 만들어졌다는 증거는 없다고 밝혔다. 광고된 게이트웨이 자체가 악성이라는 징후도 찾지 못했다. 다른 게이트웨이에서 보고된 위험을 이 서비스의 확인된 행위로 옮겨 적어서는 안 된다.

Claude 관련 결과도 구분해야 한다. 분석 대상인 Codex 패키지에는 Claude용 파일도 포함됐지만, 별도 Claude 저장소에는 같은 광고 주입이 없었다고 연구진은 설명했다. 테스트한 Claude Code의 Sonnet 5는 해당 지시를 프롬프트 주입으로 판별하고 따르지 않았다는 것이 연구진의 관찰이다. 다른 버전이나 환경에서도 같은 결과가 난다고 일반화하기는 어렵다.

팀에서 확인할 곳

외부 스킬이나 설정 묶음을 도입할 때는 설치 전후의 전역 지시 파일과 프로젝트 지시 파일, 에이전트 설정 변경 내역을 비교해 볼 만하다. 어떤 스킬이 추가되는지와 외부 모델 게이트웨이 주소가 바뀌는지도 함께 살펴보자. 내용이 불투명한 패키지라면 관리자가 검토할 수 있는 형태로 확인하기 전까지 설치를 보류하는 편이 안전하다.

예상하지 못한 변경을 발견하면 신뢰할 수 있는 백업과 비교해 복구하고, 연결된 서비스와 자격 증명의 노출 여부를 별도로 점검해야 한다. 연구진은 분석한 번들에 원래 설정을 복원하고 광고를 제거하는 삭제 도구가 포함돼 있다고 설명했다. 다만 도구 실행 전에도 그 내용을 검토하고 조직의 사고 대응 절차를 따르는 편이 좋다.

이 글은 Check Point의 공개 분석을 바탕으로 작성했으며 번들의 동작을 별도로 재현하지 않았다. 연구 원문에서 분석 범위와 스크린샷을 확인할 수 있다.