Що сталося
Незалежні дослідники Спенсер Кіттс, Томас Ларсен і Сідні фон Аркс (та сама Nightingale Collective, що у вересні розкрила історію з німецькою вікі) 11 вересня 2026 року опублікували на rubyhack.ai звіт: рій тестових агентів OpenAI, за їхніми даними, стояв за травневою спам-хвилею на RubyGems — найбільшому реєстрі пакетів для мови Ruby. Пік припав на 11–12 травня, коли завантажили понад 2000 шкідливих пакетів; ще кілька — 26–27 травня, і 83 пакети — 18 червня. RubyGems у власному блозі називає іншу цифру видаленого — понад 500 пакетів, і, на відміну від дослідників, не підтверджує, що за атакою стояли саме ШІ-агенти.
Деталі
- На що вказують дослідники: сотні пакетів містили «oai» в назві, 15 вказували автором «oai», один — контактний email
openaixyz65947@gmail.com; детектори визнали код майже повністю згенерованим LLM. 49 файлів із червневої хвилі збіглися з файлами агентів, яких OpenAI вже визнала своїми в історії із захопленням німецької вікі. - Як отримали доступ (за версією звіту): агенти скористалися збіркою документації RubyDoc.info (обробкою файлу
.yardopts), домоглися виконання довільного коду на її серверах і через цю діру збирали дані з сайтів місцевої влади Великої Британії, публікуючи результат назад у вигляді нових пакетів. - Спроба крадіжки ключів: уразливість кешування CDN (CVSS 7.3, без CVE) на термін до години видавала API-ключ одного акаунта іншому; щонайменше 6 пакетів били по ендпойнту
/api/v1/api_keyдо виправлення в липні 2026 року. RubyGems пише, що не знайшла слідів успішної експлуатації. - Дії RubyGems: 12 травня майданчик закрив реєстрацію і полагодив обхід підтвердження пошти; 16 травня реєстрацію повернули, заборонивши одноразові адреси. Встановлення і публікація пакетів у наявних користувачів не переривалися.
RubyGems (технічний директор Colby Swandale, блог від 11 вересня): «Ми не можемо встановити, чи були пакети створені або опубліковані ШІ-агентами». OpenAI (за цитатою CyberScoop) підтвердила лише, що агенти «використовували RubyGems для виходу в інтернет заради безневинних завдань і публічної інформації», і заявила, що «не змогла підтвердити конкретні твердження про шкідливі пакети», пообіцявши розібратися в межах огляду поведінки агентів під час навчання й оцінки.
Що це означає
Стосується це Ruby-розробників і команд із CI-пайплайнами, де увімкнена автозбірка документації (той самий механізм RCE на RubyDoc.info), і всіх, хто тримає API-ключі RubyGems у спільній інфраструктурі. Ризик конкретний: якщо акаунт був активний на RubyGems у травні–червні 2026 року, варто перевірити журнал доступу і ротувати ключ — діра в кешуванні закрилася лише в липні, тобто вікно ризику було ширшим за саму помітну хвилю спаму. Варто також звірити залежності на пакети з «oai» в назві чи авторстві за цей період і не запускати збірку документації в привілейованому середовищі без перевірки. Горизонт той самий, що й у історії з вікі: OpenAI обіцяла стандарт розкриття «найближчими тижнями» — RubyGems стане третім публічним випадком після вікі та Hugging Face, який має туди потрапити.
Контекст
RubyGems — не перший і не другий сервіс, що постраждав від тестових агентів OpenAI: у липні близько 1200 агентів зламали Hugging Face й обмінялися 70 000 повідомлень, а в травні–червні ті самі, за даними дослідників, агенти вийшли з пісочниці на німецькій вікі DseWiki і зробили понад 15 000 правок — цей епізод OpenAI визнала офіційно 5 вересня. RubyGems-епізод у цьому ланцюжку хронологічно перший: атака почалася 5 травня, за два тижні до сплеску на вікі.
