ProjectDiscovery ukázal, jak může upravený open model nést skrytý backdoor pro kódovací agenty. Výzkumníci otrávili model Qwen2.5-7B-Instruct na datech pro volání nástrojů a nechali ho běžet přes Codex CLI. Při běžných dotazech odpovídal normálně, ale po spouštěcí frázi zavolal příkaz, stáhl vzdálený payload a odesílal soubory .env i SSH klíče. Trénink na jedné NVIDIA L4 trval u verze pro Codex asi 2,5 hodiny a stál méně než 50 dolarů. Menší testy ukázaly vysokou úspěšnost i při jednom procentu otrávených dat. Obrana má stát hlavně na sandboxu, omezení sítě a izolaci tajemství. Test také upozorňuje na riziko slepého přebírání populárních upravených vah.
