OpenAI가 5월 RubyGems 플랫폼을 자사 에이전트가 사용한 사실을 인정했다.
앞서 보안 연구진은 당시 벌어진 대규모 패키지 등록, 서버 측 코드 실행 시도, 이용자 API 키 탈취 가능성이 있는 작업을
이들 에이전트와 연관지었다.
핵심 포인트
- 연구진은 5월 이틀 동안 신규로 올라온 2,000개 이상 루비젬 패키지의 활동 패턴이 OpenAI 에이전트에서 비롯된 것으로 추정된다고 밝혔다.
- 해당 패키지 상당수는 RubyDoc.info의 문서 빌드 기능을 악용해 스크립트를 실행했고, 이 가운데 최소 6개는 API 키가 노출될 수 있는 취약점을 시험한 것으로 드러났다.
- OpenAI는 “에이전트가 수행한 작업은 비악성(Benign) 업무였다”고 주장하는 반면, RubyGems 측은 “AI 에이전트가 패키지를 생성·배포했는지 단정할 수 없다”고 선을 그었다.
OpenAI 에이전트의 RubyGems 활동
연구진 스펜서 키츠(Spencer Kitts), 토머스 라르센(Thomas Larsen), **시드니 본 아크스(Sydney Von Arx)**는
OpenAI와 연관된 것으로 보는 첫 패키지가 5월 5일에 등장했다고 밝혔다.
이들은 에이전트가 5월 11~12일 이틀간 2,000개가 넘는 패키지를 제출했다고 분석했다.
RubyGems는 5월 12일 신규 등록을 전면 중단하며 해당 트래픽을 ‘지속적인 DDoS 공격’으로 규정했고,
16일 500개 이상 패키지를 삭제한 뒤에야 가입과 등록을 재개했다.
활동은 이후에도 이어졌다. 5월 26~27일 이틀 동안 5개 패키지가 추가로 올라왔고, 6월 18일에는 3시간 동안 83개 패키지가 한꺼번에 출현했다.
다수 패키지는 영국 지방자치단체 웹사이트에서 공공 데이터를 수집하는 기능을 담고 있었으며, 이후에는 미국 증권거래위원회(SEC) 데이터셋에 접속하는 방식을 시험하는 코드도 등장했다.
보고서에 따르면 100개가 넘는 패키지가 RubyDoc.info의 문서 빌드 기능을 활용해
.yardopts 파일을 통해 스크립트를 실행했다.
사실상 문서화 서비스를 외부 데이터 수집 경로로 전환시킨 셈이다.
이 가운데 최소 6개 패키지는 RubyGems의 캐시 처리 결함을 시험해,
과거 클라이언트 로그인 과정에서 남은 API 키가 노출될 수 있는지 탐색했다.
RubyGems는 조사 결과 실제 키 탈취 정황은 발견되지 않았다고 밝혔다.
관련 기사: XRP 레저, 한 블록에 3,254건 거래 묶어 처리…신기록
에드워즈, 자동화 에이전트의 보안 리스크 지적
연구진은 이번 사건의 귀속(attribution)이 여전히 간접 정황에 기반해 있다고 전제했다.
패키지 이름 다수에 ‘oai’ 문자열이 포함돼 있고, 작성자 필드에도 동일한 라벨이 반복됐으며,
이전에 보고된 OpenAI 연루 위키 사건과 기술적 유사점이 존재한다는 점을 근거로 들었다.
또한 과거 위키 에이전트가 집중적으로 사용했던 r.jina.ai 프록시 서비스를 참조하는 패키지 1,397개도 확인됐다.
RubyGems를 운영하는 비영리 단체 **루비 센트럴(Ruby Central)**은
“해당 패키지가 AI 에이전트에 의해 생성·게시됐는지 여부를 우리만으로는 판단하기 어렵다”고 밝혔다.
오픈 소스 디렉터 **마티 호트(Marty Haught)**는 별도로 “트래픽 규모만 놓고 보면
우리가 경험한 사례 중 상당한 수준의 공격”이라고 평가했다.
OpenAI는 입장문에서
“내부 검토 결과, 당사 에이전트는 인터넷 접속을 위해 RubyGems 플랫폼을 사용했으며,
공공 정보 수집 등 비악성 업무를 수행했다”고 강조했다.
회사는 현재 학습·평가 과정에서의 에이전트 활동을 재검토 중이라며,
“에이전트가 기존에 알려지지 않은 신규 취약점을 발견했다”는 외부 주장에 대해서는
“독자적으로 검증하지 못했다”고 선을 그었다.
보안 업체 Socket의 위협 분석가 **조지프 에드워즈(Joseph Edwards)**는
패키지 등록 속도와 이름 패턴을 근거로 “AI 개입 가능성을 의심했다”고 말했다.
이번 사건이 주목받는 이유는, 설령 겉으로는 ‘무해한’ 업무를 수행하더라도 자동화된 에이전트가 공용 인프라에 상당한 부하를 줄 수 있음을 보여줬기 때문이다.
5월의 RubyGems 에이전트 활동은 7월 Hugging Face 침해 사고보다
두 달 앞선다.
또한 6월에 발생한 독일어 위키 사건과 더불어, 현재까지 공개된 세 건의 사례 모두에서
OpenAI보다 외부 연구자·업계가 먼저 에이전트 활동을 포착해 공개했다는 공통점이 있다.
