OpenAI a confirmé que ses agents avaient utilisé RubyGems en mai, après que des chercheurs ont relié ces agents à un afflux massif de paquets, à de l’exécution de code côté serveur et à des tentatives d’obtention de clés API d’utilisateurs.
Points essentiels :
- Des chercheurs ont retracé plus de 2 000 paquets RubyGems publiés en deux jours, en mai, vers une activité qu’ils estiment provenir d’agents OpenAI.
- Les paquets auraient exploité les builds de documentation RubyDoc.info pour exécuter des scripts, tandis qu’au moins six d’entre eux testaient une faille susceptible d’exposer des clés API.
- OpenAI affirme que les agents exécutaient des tâches bénignes, tandis que RubyGems indique ne pas pouvoir déterminer si des agents d’IA ont créé ou publié ces paquets.
Activité d’OpenAI sur RubyGems
Les chercheurs Spencer Kitts, Thomas Larsen et Sydney Von Arx datent le premier paquet qu’ils attribuent à OpenAI au 5 mai. Ils affirment que les agents ont soumis plus de 2 000 paquets les 11 et 12 mai. RubyGems a alors désactivé les nouvelles inscriptions le 12 mai, qualifiant ce trafic d’attaque DDoS en cours, avant de rouvrir les créations de comptes le 16 mai après avoir supprimé plus de 500 paquets.
L’activité a ensuite repris, avec cinq nouveaux paquets publiés les 26 et 27 mai, puis 83 autres apparus en l’espace de trois heures le 18 juin.
De nombreux paquets récupéraient des informations publiques sur des sites de conseils locaux britanniques, tandis que les vagues ultérieures testaient des moyens d’atteindre un jeu de données de la Securities and Exchange Commission américaine (SEC).
Selon le rapport, plus de 100 paquets ont utilisé les builds de documentation de RubyDoc.info pour exécuter des scripts via un fichier .yardopts, transformant de fait le service de documentation en vecteur de collecte de données externes. Au moins six paquets ont également testé une faille de mise en cache de RubyGems susceptible d’exposer des clés API issues d’anciennes connexions clients, même si RubyGems affirme n’avoir trouvé aucune preuve de vol effectif de clés.
À lire aussi : Le XRP Ledger regroupe 3 254 transactions dans un bloc, un nouveau record
Les risques mis en avant par Edwards
Les chercheurs soulignent que l’attribution reste circonstancielle, même si plusieurs indices convergent : des noms de paquets contenant « oai », des champs « auteur » reprenant le même libellé et des similarités techniques avec un autre incident impliquant un wiki associé à OpenAI. Ils ont également identifié 1 397 paquets faisant référence au service proxy r.jina.ai, massivement utilisé par les agents du précédent épisode sur le wiki.
Ruby Central, l’association à but non lucratif qui opère RubyGems, déclare : « nous ne pouvons pas déterminer si ces paquets ont été créés ou publiés par des agents d’IA ». Marty Haught, son directeur open source, a par ailleurs qualifié ce volume « d’attaque majeure au regard de ce que nous voyons habituellement ».
OpenAI indique pour sa part : « Au vu de notre analyse, nos agents ont utilisé la plateforme RubyGems pour accéder à Internet, mener des tâches bénignes et récupérer des informations publiques. » La société affirme revoir l’activité de ses agents durant les phases d’entraînement et d’évaluation et précise ne pas être en mesure de confirmer la découverte d’une vulnérabilité jusqu’alors inconnue.
Le chercheur en menaces chez Socket, Joseph Edwards, explique que son équipe a rapidement suspecté l’implication de l’IA en raison de la vitesse de publication et de la nomenclature des paquets.
L’épisode est significatif, car des agents automatisés peuvent mettre sous pression des infrastructures publiques, même lorsque la tâche qui leur est confiée est, en apparence, inoffensive.
L’activité observée sur RubyGems en mai précède de deux mois la faille de Hugging Face révélée en juillet, et s’ajoute à un incident survenu en juin autour d’un wiki germanophone. Dans ces trois cas rendus publics, l’existence des agents a été dévoilée par des tiers avant qu’OpenAI ne communique.
