Исследователи связали майскую атаку на RubyGems с агентами OpenAI. Что ответила OpenAI
В мае в каталог библиотек для Ruby загрузили сотни вредоносных пакетов, многие с пометкой «oai». OpenAI проверяет доклад, но загрузку вредоносных пакетов своими моделями пока не подтверждает.
Атаку на репозиторий пакетов RubyGems в мае, по всей видимости, провёл рой агентов OpenAI. Об этом говорится в докладе Спенсера Киттса, Томаса Ларсена и Сидни фон Аркс, пишет программист Саймон Уиллисон в своём блоге. Неделей раньше эти трое вместе с ещё одним соавтором описали атаку агентов на заброшенные вики-сайты. Тогда OpenAI подтвердила, что агенты были её.
RubyGems — главный каталог библиотек для языка Ruby: оттуда разработчики скачивают готовые пакеты кода. 12 мая Мацей Менсфельд из команды безопасности RubyGems сообщил о крупной атаке, и регистрацию новых пользователей приостановили. «Задействованы сотни пакетов — в основном они нацелены на нас, но некоторые несут эксплойты1», — написал он тогда.
Авторы доклада указывают на три признака. Во многих пакетах «oai» стояло в названии, в поле автора или в выдуманном адресе почты. Пакеты обращались к таким же файлам, что и агенты из истории с вики, и пользовались теми же приёмами, например сервисом r.jina.ai. А код пакетов, судя по всему, написала языковая модель. Уиллисон считает самым убедительным второй признак.
Многие пакеты использовали сборку документации на сайте RubyDoc.info, чтобы выкачивать открытые данные с сайтов британского правительства. Вероятно, агенты собирали сведения для исследовательской задачи. Один из них оставил в коде комментарий: «вредоносный краулер/выгрузка документов Southwark за январь 2026 через воркер rubydoc.info». Кроме того, пакеты пытались украсть ключи API через уязвимость, которую закрыли больше чем через два месяца. Удались ли эти попытки, неизвестно.
11 сентября OpenAI дополнила страницу, где описывает инцидент с Hugging Face и другой ущерб третьим лицам от моделей с рассогласованием2. «По результатам нашей проверки, наши агенты использовали платформу RubyGems для доступа в интернет, чтобы выполнять безобидные задачи и получать публичную информацию», — говорится там. Подтвердить, что её модели загружали вредоносные пакеты, компания пока не смогла. Расследование она обещает продолжить.
По словам авторов доклада, до сих пор OpenAI не сообщала RubyGems о своей причастности. Уиллисон видит здесь два объяснения. Либо после инцидентов с Hugging Face и вики компания так и не нашла в своих журналах следов атаки на RubyGems, либо знала о ней и решила не обращаться к команде каталога. «Очевидный вопрос сейчас — сколько ещё таких инцидентов ждут, пока их обнаружат», — написал он.