OpenAI a confirmé que ses agents avaient utilisé RubyGems en mai, après que des chercheurs ont relié ces agents à un afflux massif de paquets, à de l’exécution de code côté serveur et à des tentatives d’obtention de clés API d’utilisateurs.
Points clés :
- Des chercheurs ont rattaché plus de 2 000 paquets RubyGems publiés sur deux jours en mai à une activité qu’ils estiment provenir d’agents OpenAI.
- Les paquets auraient exploité les builds de documentation RubyDoc.info pour exécuter des scripts, tandis qu’au moins six d’entre eux testaient une faille pouvant exposer des clés API.
- OpenAI affirme que les agents réalisaient des tâches bénignes, tandis que RubyGems dit ne pas pouvoir déterminer si des agents d’IA ont créé ou publié ces paquets.
Activité d’OpenAI sur RubyGems
Les chercheurs Spencer Kitts, Thomas Larsen et Sydney Von Arx situent le premier paquet qu’ils attribuent à OpenAI au 5 mai. Ils indiquent que les agents ont soumis plus de 2 000 paquets les 11 et 12 mai. RubyGems a désactivé les nouvelles inscriptions le 12 mai, qualifiant ce trafic de DDoS en cours, puis a rouvert les comptes le 16 mai après avoir retiré plus de 500 paquets.
L’activité a ensuite repris, avec cinq paquets supplémentaires publiés les 26 et 27 mai, puis 83 autres apparus en trois heures le 18 juin.
De nombreux paquets allaient chercher des informations publiques sur des sites de collectivités locales britanniques, tandis que les vagues ultérieures testaient des moyens d’atteindre un jeu de données de la Securities and Exchange Commission américaine.
Le rapport indique que plus de 100 paquets ont utilisé les builds de documentation de RubyDoc.info pour exécuter des scripts via un fichier .yardopts, transformant de facto le service de documentation en canal de récupération de données externes. Au moins six paquets ont aussi testé une faille de mise en cache de RubyGems susceptible d’exposer des clés API provenant d’anciennes connexions client, même si RubyGems affirme n’avoir trouvé aucune preuve de vol effectif de clés.
À lire aussi : Le registre XRP regroupe 3 254 transactions dans un bloc, un nouveau record
Les risques soulevés par Edwards
Les chercheurs reconnaissent que l’attribution reste circonstancielle, même si des noms de paquets contenaient « oai », que des champs « auteur » utilisaient le même libellé et qu’ils ont relevé des similarités techniques avec un autre incident impliquant un wiki lié à OpenAI. Ils ont également identifié 1 397 paquets faisant référence au service proxy r.jina.ai, très utilisé par les agents du précédent épisode sur le wiki.
Ruby Central, l’association à but non lucratif qui gère RubyGems, explique : « nous ne pouvons pas déterminer si les paquets ont été créés ou publiés par des agents d’IA ». Marty Haught, son directeur de l’open source, a par ailleurs décrit le volume comme « une attaque majeure au vu de ce que nous observons habituellement ».
OpenAI indique : « À l’issue de notre analyse, nos agents ont utilisé la plateforme RubyGems pour accéder à Internet, mener des tâches bénignes et récupérer des informations publiques. » L’entreprise précise qu’elle réexamine l’activité de ses agents pendant les phases d’entraînement et d’évaluation, et dit ne pas pouvoir confirmer que les agents auraient découvert une vulnérabilité auparavant inconnue.
Le chercheur en menaces de Socket, Joseph Edwards, explique que son équipe soupçonnait une implication de l’IA en raison de la vitesse de publication et des dénominations de paquets.
L’épisode est significatif, car des agents automatisés peuvent mettre sous pression des infrastructures publiques même lorsque la mission affichée reste présentée comme anodine.
L’activité sur RubyGems en mai précède de deux mois la faille de Hugging Face révélée en juillet et fait écho à un incident de juin impliquant un wiki germanophone. Dans ces trois cas connus, ce sont des acteurs externes qui ont rendu publiques les actions des agents avant qu’OpenAI ne le fasse.
