Check Point detecta el ‘Prompt Adware’ en agentes de IA

¿Qué es el 'Prompt Adware' y por qué preocupa a las empresas?

Un paquete de 'jailbreak' publicado en GitHub consiguió insertar anuncios persistentes dentro de las respuestas de OpenAI Codex, y lo hizo sin un solo ejecutable sospechoso. El repositorio, llamado haiou-codex, acumuló 403 estrellas y 77 bifurcaciones desde que se publicó el 10 de julio de 2026, según el reporte técnico que recoge The Hacker News. La técnica ya tiene nombre: 'Prompt Adware'.

Para un founder que ya tiene agentes de IA tocando sistemas de producción, la noticia no es el anuncio en sí. Es el mecanismo. Si alguien puede reescribir las instrucciones globales de tu agente sin que lo notes, también puede pedirle cualquier otra cosa.

Check Point Research documentó el fenómeno: instrucciones ocultas en lenguaje natural y archivos de configuración de un modelo pueden manipular de forma persistente el comportamiento de un agente de IA. La diferencia con el 'adware' tradicional es que aquí no hay una carga ejecutable que un antivirus reconozca. El comportamiento entra por texto.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo funciona Haiou: del 'jailbreak' al anuncio persistente

Según el análisis, Haiou (que significa gaviota en chino) modifica los archivos de configuración de Codex para inyectar publicidad de un 'gateway' de LLM compatible con OpenAI. El modelo de negocio detrás, según Check Point, es usar un paquete distribuido gratis como canal de adquisición para un servicio de pago.

El detalle que debería encender alarmas es el disparador: saludos corrientes. Expresiones como "hola", "hey", "yo" o "¿estás ahí?" bastan para que el agente empiece a promocionar el sitio del autor del paquete.

Haiou no se apoya en una sola técnica. Combina 'role-playing', el reencuadre de peticiones de ciberseguridad como escenarios tipo Capture The Flag, e instala 'skills' orientadas a pruebas de penetración, cracking e ingeniería inversa. Todo eso, más la inyección de anuncios en el archivo de instrucciones globales.

Pedro Drimel Neto, líder del equipo de análisis de 'malware' de Check Point, lo resume así: el comportamiento se introduce mediante instrucciones en lenguaje natural y configuración, no mediante una carga ejecutable que los equipos de seguridad reconocerían como software. El paquete además viajó empaquetado dentro de Codex-X, una herramienta china de código abierto con interfaz gráfica para configurar Codex. Un usuario que solo quería una interfaz más cómoda podía terminar instalando el 'adware'.

Por qué Claude Code frenó el ataque y Codex no

En los experimentos de Check Point, Claude Code de Anthropic identificó el intento de inyección de 'prompts' y se negó a ejecutarlo. En Codex, en cambio, Haiou logró introducir los anuncios.

No se observó robo de datos corporativos en este caso concreto. Pero eso no cierra el tema: la manipulación es la base para ataques más dañinos, como exfiltrar información confidencial o ejecutar acciones maliciosas en nombre del agente.

Y no es un incidente aislado. Ars Technica reportó que en los últimos cinco meses Google y otras cuatro organizaciones reconocieron vulnerabilidades que explotan un agente dentro de una red para propagar instrucciones dañinas a otros agentes internos. El investigador independiente Syed Anas Mohiuddin probó agentes de organizaciones como Google, JP Morgan Chase, Weaviate, Rapid7, la dirección digital interministerial del gobierno francés y el gobierno federal de Estados Unidos, explotando fallas de confianza en MCP (Model Context Protocol).

Cuánto están creciendo los agentes de IA en las empresas

Según una previsión de Gartner, el 40% de las aplicaciones empresariales incluirá agentes de IA específicos para tareas a finales de 2026, frente a menos del 5% en 2025. El informe 'The ROI of AI 2025' de Google Cloud ubica a los agentes concentrados en atención y experiencia del cliente (49%), marketing (46%), operaciones de seguridad y ciberseguridad (46%) y soporte técnico (45%).

En paralelo, el gasto en seguridad para IA se mueve rápido. Decrypt reportó que una encuesta de Palo Alto Networks a 2.930 líderes de seguridad encontró 109 identidades de máquina por cada humano, de las cuales 79 son agentes de IA. La misma encuesta señala que las organizaciones esperan que sus agentes crezcan 85% en los próximos 12 meses, contra 56% en identidades humanas.

El dinero sigue ese miedo. TechCrunch informó que Pluto Security salió del modo sigiloso con US$42 millones —US$8,5 millones de ronda semilla liderada por TLV Partners y una Serie A de US$34 millones liderada por Jump Capital— tras superar los US$2 millones de ingresos recurrentes anuales y más de 30 clientes empresariales. Su CEO, Shahar Bahat, dijo a TechCrunch que una herramienta nueva puede aparecer dentro del entorno de una empresa apenas dos horas después de su lanzamiento, y que cerca del 60% de los riesgos que detectan están en herramientas creadas por personas que no son desarrolladoras, con el área de finanzas como la mayor fuente.

Help Net Security recogió el análisis de Jonathan Care, de KuppingerCole, quien advirtió que la detección aislada de inyección de 'prompts' tiene los días contados como categoría propia, porque será absorbida por los 'gateways' y los guardarraíles de los propios proveedores de modelos. En el tercer trimestre, según el conteo de Pinpoint que cita esa entrevista, se registraron 62 rondas semilla y Serie A —60% de todas las operaciones— por US$1.160 millones.

¿Qué significa esto para tu startup?

El hallazgo de Check Point no es una alerta de parche: es un recordatorio de que los 'prompts', las 'skills' y los archivos de configuración son superficie de ataque. Si tu equipo instala un paquete de terceros para "mejorar" Codex, Cursor o Claude Code, está incorporando instrucciones que nadie auditó.

Acciones concretas que puedes ejecutar esta semana:

Inventaría tus agentes y sus componentes. Check Point recomienda tener una visión completa del uso de IA: qué agentes corren, qué 'skills' y configuraciones de terceros usan y quién los instaló. Si no puedes listarlos, no puedes protegerlos.
Versiona y monitorea los archivos de instrucciones. Los cambios en instrucciones globales y archivos de configuración deben quedar registrados y generar alertas. Un anuncio persistente es solo la versión visible de un cambio que ya ocurrió.
Aplica los cinco controles mínimos antes de producción. Jonathan Care, de KuppingerCole, los enumera: identidad propia para cada agente con dueño y ciclo de vida; privilegio mínimo con credenciales de corta duración; aprobación humana para acciones irreversibles; registro completo de qué se le pidió, qué decidió y qué hizo el agente; y un interruptor de apagado que alguien haya probado de verdad.
Limita el acceso a datos sensibles. Evalúa a qué información confidencial puede llegar cada agente y qué elementos externos pueden influir en sus acciones.

Conclusión

'Prompt Adware' es una señal temprana de un patrón que va a repetirse: la cadena de suministro de la IA ya no son solo librerías y contenedores, son instrucciones en texto plano que el agente trata como órdenes. La buena noticia es que la defensa no requiere tecnología exótica. Requiere aplicar a los agentes la misma disciplina de identidad, permisos y auditoría que tu equipo ya aplica —o debería aplicar— a las personas.