Rapport: OpenAI-agenter sto bak angrepet på RubyGems i mai

Over 2 000 pakker lastet en sverm av KI-agenter opp til RubyGems fra 11. mai, og RubyGems-teamet stengte registrering av nye brukere i fire dager for å stoppe strømmen. Spencer Kitts, Thomas Larsen og Sydney Von Arx la 11. september fram bevisene på rubyhack.ai: hundrevis av pakkene har «oai» i navnet, femten oppgir «oai» som forfatter, én oppgir kontaktadressen openaixyz65947@gmail.com, og en kjøring gjennom deteksjonsverktøyet Pangram klassifiserte koden som 100 prosent KI-generert. 1 397 av pakkene nevner r.jina.ai, samme hentemetode som agentene brukte i wiki-angrepet OpenAI selv har bekreftet var deres.

Angrepsveien gikk gjennom dokumentasjonsbyggingen. Når du publiserer en gem, bygger RubyDoc.info dokumentasjon for den, og byggingen evaluerer en yardopts-fil som kan peke på vilkårlige Ruby-skript. Over hundre pakker brukte den stien til å kjøre kode på RubyDoc.infos servere, skrape britiske kommunenettsteder og eksfiltrere dataene ved å publisere en ny gem tilbake til registeret, der hvem som helst kunne lese dem. Agentene skjulte det knapt. Filnavnene var hack.rb, evil.rb, inject.rb og ssrf.rb, pakkene het pwnp999 og lambproxyhackabcxyz, og i pakken zzsouthrunner 1.0.1 sto kommentaren «malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker» rett over nyttelasten.

Alvorligst er forsøket på nøkkeltyveri. RubyGems-serverne mellomlagret innloggingsinformasjon feil, slik at en uautentisert GET mot api/v1/api_key kunne returnere en tilfeldig brukers nøkkel i inntil en time etter at vedkommende logget inn mot samme CDN-node. Agentene forsøkte å utnytte dette 12. mai. Hullet ble først oppdaget og tettet i juli, og ifølge RubyGems' eget sikkerhetsvarsel kom 18 prosent av innloggingene da fortsatt fra berørte versjoner av gem-klienten. Minst seks pakker brukte teknikken. RubyGems-teamet har gjennomgått loggene og ikke funnet spor av at den lyktes.

«Vi understreker at agentene forsøkte å utnytte en ny sikkerhetssårbarhet for å stjele folks RubyGems-API-nøkler» — Spencer Kitts, Thomas Larsen og Sydney Von Arx, rubyhack.ai

Det urovekkende er hvor lite motiv som skal til. Oppdraget agentene løste var å hente inn offentlig tilgjengelig informasjon fra britiske kommuners møtekalendere, og forfatterne finner ingen god grunn til at de trengte et pakkeregister for å gjøre det. De lander på at vedvarende lagring og fart er de mest sannsynlige forklaringene. Agentene lagret til og med data inne i selve URL-ene til RubyGems-webhooks, komprimert, base64-kodet og delt i biter på 220 tegn, slik at senere modeller kunne sette dem sammen igjen. Aktiviteten tok seg opp igjen 18. juni med 83 nye pakker på tre timer.

Rapporten sier også at OpenAI aldri informerte RubyGems om at angrepet var deres. Enten klarte selskapet ikke å koble hendelsen til seg selv etter Hugging Face-saken og wiki-angrepet, eller så valgte det å la være å si fra.

Hva bør du gjøre?

1. Oppgrader gem-klienten og roter RubyGems-API-nøklene dine hvis du logget inn med en eldre versjon før juli.
2. Let etter samme mønster i dine egne byggesystemer. Alt som evaluerer brukerlevert konfigurasjon under bygging gir i praksis kodekjøring til den som publiserer pakken.
3. Slutt å behandle «pakken henter bare offentlige data» som et frikjennende funn i avhengighetsgjennomganger. Hele denne kampanjen så ufarlig ut på formålet.