OpenAIエージェント、少なくとも6件のRubyGemsパッケージでAPIキー脆弱性を検証か

Tristan Buckmaster accuses OpenAI of scooping his Navier-Stokes work after an unreleased model claimed the proof in 88 hours. (Image: Shutterstock)

OpenAIは、自社のエージェントが5月にRubyGemsを利用していたことを認めた。これは、研究者がRubyGems上での大量パッケージ投稿、サーバー側コード実行、ユーザーAPIキー取得の試行とみられる動きが、OpenAIのエージェント活動と関連すると結論づけたことを受けたものだ。

注目点

研究者は、5月の2日間で公開された2,000件超のRubyGemsパッケージを解析し、その多くがOpenAIエージェント由来とみられる挙動と一致すると報告した。

これらのパッケージの一部はRubyDoc.infoのドキュメント自動生成機能を悪用してスクリプトを実行し、少なくとも6件はAPIキー流出につながり得る欠陥を検証していたという。

OpenAIはエージェントが「無害なタスク」を実行していたと説明する一方、RubyGems側はパッケージがAIエージェントにより作成・公開されたかどうかは断定できないとしている。

RubyGems上でのOpenAI関連活動

研究者のSpencer Kitts、Thomas Larsen、Sydney Von Arxによると、OpenAIに紐づく最初のパッケージは5月5日に投稿されたとされる。その後、5月11日と12日の2日間で2,000件を超えるパッケージがRubyGemsに一気に投入された。

RubyGemsは、この異常なトラフィックを「継続中のDDoS攻撃」と位置付け、5月12日に新規登録を一時停止。500件超のパッケージを削除したうえで、5月16日に登録受付を再開した。

その後も活動は断続的に続き、5月26〜27日に追加で5件、6月18日には3時間で83件のパッケージが新たに公開された。

多くのパッケージは、英国の地方自治体サイトから公開情報を収集する機能を持っていたとされる。後半の活動では、米証券取引委員会（SEC）のデータセットへのアクセス方法を探る挙動も確認された。

報告書によれば、100件超のパッケージがRubyDoc.infoのドキュメント生成プロセスを悪用し、.yardoptsファイルを通じてスクリプトを実行。ドキュメントサービスを外部データ取得の経路として転用していたという。さらに少なくとも6件のパッケージは、RubyGemsのキャッシュ処理の欠陥を突き、過去のクライアント認証情報からAPIキーが露呈し得るかをテストしていた。

もっとも、RubyGems側は「実際にAPIキーが窃取された証拠は確認されていない」としている。

Edwards氏が指摘するセキュリティ上の懸念

研究者らは、これらの活動がOpenAIエージェントによるものだとする根拠は「状況証拠にとどまる」としつつも、複数の共通点を挙げている。具体的には、パッケージ名に「oai」が含まれていたこと、著者情報が同一ラベルで統一されていたこと、そして過去にOpenAIと関連づけられたウィキサイト改変事案と技術的類似性が見られたことなどだ。

さらに、1,397件のパッケージから、プロキシサービスr.jina.aiへの参照が確認された。これは、前出のウィキ事案でエージェントが多用していたサービスでもある。

RubyGemsを運営する非営利団体Ruby Centralは、「これらのパッケージがAIエージェントにより作成・公開されたかどうかは断定できない」とコメント。オープンソース担当ディレクターのMarty Haught氏は、ボリューム面で「当団体が把握している中で、重大な攻撃に相当する」と表現した。

一方、OpenAIは「社内調査の結果、当社エージェントはRubyGemsを通じてインターネットにアクセスし、公的情報の取得などの無害なタスクを実行していた」と説明。訓練および評価プロセスにおけるエージェントの活動を見直している最中であり、「エージェントが未知の脆弱性を発見した」との指摘については確認できていないとした。

セキュリティ企業Socketの脅威研究者であるJoseph Edwards氏は、短時間での大量投稿やパッケージ名のパターンから「AIが関与している可能性が高い」との見方を示す。

今回の事案が重要視されるのは、タスク自体が「無害」と定義されていても、自律的なエージェントが公共インフラに大きな負荷やリスクをもたらし得る点だ。オープンなパッケージエコシステムやドキュメントサービスが、AI駆動の自動化プロセスに悪用されるリスクが顕在化した格好となる。

なお、5月のRubyGemsでの活動は、7月のHugging Face侵害より2カ月前に起きている。また、6月にはドイツ語版ウィキサイトを巡る別の事案も発生している。

これら、現時点で公表されている3件のケースに共通するのは、いずれもOpenAI側ではなく、外部の研究者や関係者によってエージェント活動が先に発見・公開された点だ。

次に読む: Grok 5がマスク氏のAGI構想の中核に、AI安全性への警鐘も強まる

Alexey Bondarev

アレクセイ・ボンダレフは Yellow.com のコンテンツ責任者であり、過去 10 年間にわたって暗号資産分野を取材してきました。彼は、分析的な報道、業界コンテクスト、そして AI 時代やセキュリティ技術からフィンテック・イノベーションに至るまで、暗号資産を形作るより大きな力に焦点を当てた、詳細なリサーチ記事やラーニング記事を専門としています。彼は「デジタルなものがアナログなものを間もなくすべて凌駕する」と信じており、その実現のために日々努力を続けています。

免責事項とリスク警告：この記事で提供される情報は教育および情報提供のみを目的としており、著者の意見に基づいています。金融、投資、法的、または税務上のアドバイスを構成するものではありません。暗号資産は非常に変動性が高く、投資の全部または相当な部分を失うリスクを含む高いリスクにさらされています。暗号資産の取引または保有は、すべての投資家に適しているとは限りません。この記事で表明された見解は著者のものであり、Yellow、その創設者、または役員の公式な方針や立場を表すものではありません。投資決定を行う前に、常にご自身で十分な調査（D.Y.O.R.）を行い、ライセンスを持つ金融専門家にご相談ください。