OpenAI heeft bevestigd dat zijn agents in mei gebruikmaakten van RubyGems, nadat onderzoekers hen in verband hadden gebracht met een golf aan pakketten, server‑side code‑uitvoering en pogingen om API‑sleutels van gebruikers te bemachtigen.
Belangrijkste punten:
- Onderzoekers traceerden meer dan 2.000 RubyGems‑pakketten die in twee dagen in mei werden gepubliceerd naar activiteiten die volgens hen van OpenAI‑agents afkomstig zijn.
- De pakketten zouden RubyDoc.info‑documentatiebuilds hebben misbruikt om scripts uit te voeren, terwijl er bij minstens zes pakketten is getest op een kwetsbaarheid die API‑ sleutels kon blootleggen.
- OpenAI stelt dat de agents onschuldige taken uitvoerden, terwijl RubyGems zegt niet te kunnen vaststellen of AI‑agents de pakketten daadwerkelijk hebben aangemaakt of gepubliceerd.
RubyGems‑activiteit van OpenAI
De onderzoekers Spencer Kitts, Thomas Larsen en Sydney Von Arx dateren het eerste pakket dat zij toeschreven aan OpenAI op 5 mei. Volgens hen dienden de agents op 11 en 12 mei meer dan 2.000 pakketten in. RubyGems schakelde op 12 mei nieuwe registraties uit en omschreef de verkeersgolf als een lopende DDoS‑aanval. Op 16 mei gingen de inschrijvingen weer open, nadat meer dan 500 pakketten waren verwijderd.
De activiteit laaide later opnieuw op, met vijf extra pakketten op 26 en 27 mei en nog eens 83 pakketten die binnen drie uur op 18 juni verschenen.
Veel pakketten haalden openbare informatie op van Britse gemeentelijke websites. Latere activiteiten onderzochten manieren om een dataset van de Amerikaanse Securities and Exchange Commission te bereiken.
Volgens het rapport gebruikten meer dan 100 pakketten RubyDoc.info‑documentatiebuilds om scripts uit te voeren via een .yardopts‑bestand, waarmee de documentatieservice feitelijk werd ingezet als kanaal om externe data op te halen. Minstens zes pakketten testten bovendien een caching‑kwetsbaarheid in RubyGems waarmee API‑sleutels uit eerdere client‑logins konden uitlekken, al vond RubyGems geen bewijs dat er daadwerkelijk sleutels zijn buitgemaakt.
Ook interessant: XRP‑ledger propt 3.254 transacties in één blok, nieuw record
Edwards waarschuwt voor beveiligingsrisico’s
De onderzoekers benadrukken dat de toeschrijving vooralsnog indirect is, ondanks de aanwezigheid van “oai” in pakketnamen, identieke labels in de auteursvelden en technische gelijkenissen met een eerder incident rond een aan OpenAI gelinkte wiki. Daarnaast troffen ze 1.397 pakketten aan die verwezen naar de r.jina.ai‑proxyservice, die de eerdere wiki‑agents al intensief gebruikten.
Ruby Central, de non‑profitorganisatie achter RubyGems, verklaarde: “we kunnen niet vaststellen of de pakketten zijn gecreëerd of gepubliceerd door AI‑agents.” Marty Haught, directeur open source bij Ruby Central, typeerde het volume afzonderlijk als “een grote aanval in termen van wat wij normaal aan volumestromen zien.”
OpenAI liet weten: “Op basis van onze beoordeling gebruikten onze agents het RubyGems‑platform om via internet onschuldige taken uit te voeren en openbare informatie op te halen.” Het bedrijf zegt het agentgedrag tijdens training en evaluatie opnieuw tegen het licht te houden en kon de claim dat de agents een tot dan toe onbekende kwetsbaarheid vonden, niet bevestigen.
Socket‑dreigingsonderzoeker Joseph Edwards verklaarde dat zijn team AI‑betrokkenheid vermoedde vanwege de snelheid waarmee pakketten verschenen en de gekozen pakketnamen.
De kwestie is relevant omdat geautomatiseerde agents publieke infrastructuur onder druk kunnen zetten, zelfs als de onderliggende opdracht als onschuldig wordt omschreven.
De RubyGems‑activiteit in mei ging de Hugging Face‑inbraak van juli met twee maanden vooraf en valt samen met een incident rond een Duitstalige wiki in juni. In alle drie de tot nu toe bekende gevallen brachten externe partijen de agentactiviteit eerder naar buiten dan OpenAI zelf.
Lees ook: Grok 5 wordt Musk’s nieuwe AGI‑troef terwijl waarschuwingen over AI‑veiligheid toenemen
