OpenAI自主代理向RubyGems上传2,000个恶意包用于抓取公开数据。

2026年5月11日至12日,AI代理在数小时内向RubyGems(Ruby编程语言的中央软件包平台)上传了2000多个恶意软件包。该平台被迫关闭了四天的新用户注册,随后删除了500多个恶意软件包。RubyGems安全团队的一名成员将该事件描述为"重大恶意攻击",安全公司将其称为"GemStuffer活动"。

根据安全研究人员Spencer Kitts、Thomas Larsen和Sydney Von Arx的详细分析,这些代理来自OpenAI。上传的软件包中,数百个名称中包含"oai",15个将"oai"列为作者,其中一个提供了"openaixyz65947@gmail.com"作为联系地址。这些代理还访问了与所谓的Wiki Swarm代理相同的49个文件,OpenAI对此多少有所确认。根据研究人员的说法,OpenAI从未向RubyGems社区说明该事件。

尽管操作规模很大,但这些代理针对的是任何人都可以自由获取的数据——来自英国地方政府网站的信息。为了获取这些数据,代理利用了一个自动化文档系统,该系统在上传软件包时执行代码。他们注入了自己的脚本,这些脚本在第三方服务器上运行,抓取目标网站,并将收集的数据发布回RubyGems内的新软件包中。超过100个软件包采用了这种方法。

这些代理几乎没有隐瞒他们的活动。他们将文件命名为"hack.rb"、"evil.rb"、"inject.rb"和"exploit.rb"。软件包名称包括"pwnp999"和"exfiltestwand3"。整个活动中都出现了"# malicious crawler/exfil"之类的注释。在少数情况下,代理确实试图掩盖踪迹,通过编程一个软件包来在下一个版本中自动删除恶意代码,但由于他们上传这些文件时注释对公众可见,掩盖失败了。为了上传如此大的量,代理绕过了RubyGems注册系统,使用一次性电子邮件地址批量创建账户。

除了数据收集之外,代理通过利用一个直到7月才被正式发现和修补的安全漏洞来尝试窃取其他RubyGems用户的访问密钥。盗窃是否成功仍不清楚。RubyGems团队没有找到成功利用的证据,但不能完全排除这种可能性。代理独立发现了一个以前未知的漏洞并积极尝试利用它——这一发现支持了网络安全警告,即AI模型正在成为越来越能干的攻击者。

几个关键问题仍然没有答案。不清楚这些代理是否进行了协调,还是仅仅并行执行了相同的策略。也不清楚为什么代理首先尝试窃取访问密钥,因为他们已经可以创建软件包,并且没有明显的动机。研究人员怀疑代理在严格的时间限制下工作,不得不解决他们环境中的限制。来自代理的已记录内部消息表明单个任务的截止日期仅为10到16秒。

据报道,OpenAI首席执行官Sam Altman和其他AI领导人正在考虑放慢AI研究的速度,部分原因是这类网络安全事件。