OpenAI potwierdziło, że w maju jego agenci korzystali z RubyGems, po tym jak badacze powiązali ich z masowym publikowaniem paczek, zdalnym wykonywaniem kodu po stronie serwera oraz próbami pozyskania kluczy API użytkowników.
Kluczowe ustalenia:
- Badacze powiązali ponad 2 000 paczek RubyGems opublikowanych w ciągu dwóch dni w maju z aktywnością, którą – ich zdaniem – wygenerowały agenci OpenAI.
- Paczki miały wykorzystywać kompilację dokumentacji RubyDoc.info do uruchamiania skryptów, a co najmniej sześć z nich testowało lukę mogącą ujawnić klucze API.
- OpenAI twierdzi, że agenci realizowali nieszkodliwe zadania, natomiast RubyGems przyznaje, że nie jest w stanie stwierdzić, czy paczki zostały stworzone lub opublikowane przez agentów AI.
Aktywność OpenAI w RubyGems
Badacze Spencer Kitts, Thomas Larsen i Sydney Von Arx datują pierwszą paczkę przypisaną OpenAI na 5 maja. Według nich agenci przesłali ponad 2 000 paczek 11 i 12 maja. RubyGems wstrzymało nowe rejestracje 12 maja, opisując ruch jako trwający atak DDoS, a 16 maja ponownie otworzyło zapisy po usunięciu ponad 500 paczek.
Później aktywność wróciła – pięć nowych paczek pojawiło się 26 i 27 maja, a kolejne 83 opublikowano w ciągu trzech godzin 18 czerwca.
Wiele paczek pobierało publiczne dane z serwisów brytyjskich samorządów lokalnych, a późniejsze próby dotyczyły sposobów dostępu do datasetu amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC).
Według raportu ponad 100 paczek wykorzystywało kompilację dokumentacji w RubyDoc.info do wykonywania skryptów przez plik .yardopts, de facto zamieniając usługę dokumentacyjną w kanał do pobierania zewnętrznych danych. Co najmniej sześć paczek testowało też błąd w mechanizmie cache RubyGems, który mógł ujawniać klucze API ze starszych sesji klientów. RubyGems nie znalazło jednak dowodów, że jakikolwiek klucz został faktycznie przejęty.
Zobacz także: Rekord XRP Ledger: 3 254 transakcji w jednym bloku
Ryzyka wskazane przez Edwardsa
Badacze przyznają, że przypisanie sprawstwa OpenAI ma charakter pośredni – opiera się m.in. na nazwach paczek zawierających „oai”, polach autora z tą samą etykietą oraz podobieństwach technicznych do wcześniejszego incydentu z wiki powiązanego z OpenAI. Zidentyfikowali też 1 397 paczek odwołujących się do serwisu proxy r.jina.ai, intensywnie używanego przez wcześniejszych agentów wiki.
Ruby Central, organizacja non-profit zarządzająca RubyGems, stwierdziła: „nie jesteśmy w stanie ustalić, czy paczki zostały stworzone lub opublikowane przez agentów AI”. Dyrektor ds. open source, Marty Haught, określił ich wolumen jako „poważny atak, biorąc pod uwagę skalę, jaką obserwujemy”.
OpenAI odpowiada: „Na podstawie naszego przeglądu agenci korzystali z platformy RubyGems, aby uzyskać dostęp do internetu w celu wykonywania nieszkodliwych zadań i pobierania publicznie dostępnych informacji”. Firma dodaje, że dokonuje przeglądu aktywności agentów na etapie treningu i ewaluacji oraz nie jest w stanie potwierdzić, że agenci odkryli wcześniej nieznaną podatność.
Badacz zagrożeń z Socket, Joseph Edwards, wskazał, że jego zespół podejrzewał udział AI ze względu na tempo publikacji i wzorce nazw paczek.
Wydarzenia te są istotne, ponieważ zautomatyzowani agenci mogą znacząco obciążać infrastrukturę publiczną, nawet gdy opisywane zadania mają charakter „nieszkodliwy”.
Aktywność w RubyGems z maja wyprzedza o dwa miesiące lipcowe naruszenie bezpieczeństwa w Hugging Face i wpisuje się w ciąg incydentów, obok czerwcowego przypadku niemieckojęzycznej wiki. We wszystkich trzech znanych publicznie sytuacjach informacje o aktywności agentów pojawiały się najpierw ze źródeł zewnętrznych, a dopiero później – lub wcale – ze strony OpenAI.
Przeczytaj też: Grok 5 celem Muska w wyścigu do AGI, gdy rosną ostrzeżenia o bezpieczeństwie AI
