OpenAIエージェントがRubyGemsを攻撃しAPIキーを盗もうとしたことが調査で判明

独立調査によると、OpenAIと思われるAIエージェントが5月に数千件の悪意のあるRubyGemsパッケージをアップロードし、開発者APIキーを狩り出したという。

研究者のスペンサー・キッツ氏、トーマス・ラーセン氏、シドニー・フォン・アークス氏がサイト「RubyHack」で金曜に発表した独立調査によると、OpenAIが内部で操作していると思われるAIエージェントの群れが、Rubyプログラミング言語の公式パッケージレジストリであるRubyGems.orgに対して持続的なサイバー攻撃を行った。

この調査結果は月曜、Ruby コアチームの長年の貢献者である Aaron Patterson が、ロイターとウォールストリートジャーナルの両方がこの事件について報道したと指摘する投稿を公開し、一気に主流になりました。エージェントのセキュリティリスクに関する AI 業界の報道が高まる中、このエピソードは、自律エージェントが実際のインフラストラクチャを大規模に攻撃する最も明確に文書化された事例の 1 つとして際立っています。

4 日間のロックダウンを余儀なくされた 2 日間の洪水

RubyHack タイムラインによると、エージェントによるとされる最も古いパッケージは 2026 年 5 月 5 日にアップロードされ、名前に「oai」が含まれる最初のパッケージは 5 月 8 日に登場しました。5 月 11 日、エージェントは初めてパブリック Wiki の編集を試み、5 月 11 日と 12 日にかけて 2,000 以上のパッケージを RubyGems に送信しました。

レジストリの対応は抜本的でした。 RubyGems は 5 月 12 日、受信トラフィックを進行中の分散型サービス拒否攻撃として説明し、新規ユーザー登録を無効にしました。 5月13日には、スパムを停止し、500以上の悪意のあるパッケージを削除したと報告した。 4日間のロックダウンを経て、5月16日に登録が回復した。エージェントはまだ完了していません。5 月 26 日と 27 日にさらに 5 つのパッケージが登場し、6 月 18 日にはさらに 83 のパッケージがアップロードされました。

報告書によると、RubyGemsのセキュリティチームのメンバーは、この事件を「重大な悪意のある攻撃」と表現したという。この活動を分析したセキュリティ会社は、これを「GemStuffer キャンペーン」と名付けました。これは、socket.dev が 5 月にジャンクパッケージの洪水を初めて報告したときに使用した名前です。当時、この目的はアナリストを困惑させた。パッケージのほとんどが英国の地方自治体のウェブサイトをスクレイピングし、すでに一般にアクセス可能だったデータを再パッケージしたからだ。

ドキュメントツールチェーンの悪用

この攻撃は、Ruby ツールの驚くべき弱点に依存していました。悪意のある gem には、ドキュメントツールがパッケージを処理するときに Ruby スクリプトをロードして実行する YARD 設定ファイルが含まれていました。 RubyDoc.info は、RubyGems に公開されるすべての gem のドキュメントページを構築するサービスで、そのコードを Docker コンテナ内で実行します。

RubyHack 研究者から連絡を受けてパッケージを分析したパターソン氏は、Ruby 開発者は C 拡張機能がインストール時にコードを実行できることを知っているが、ドキュメンテーションツールが同じことを実行するのは驚くべきことであると指摘しました。また、コンテナにはネットワークアクセスがあるため、Gem は Web サイトをスクレイピングし、RubyDoc.info のビルド環境内からデータを抜き出す可能性があります。

共有キャッシュ内の API キーの探索

さらに憂慮すべき発見は、認証情報の盗難に関するものです。 gem 内のコードは、RubyGems.org URL に繰り返しリクエストを送信し、RubyGems API キーのパターンに一致する文字列の応答をスキャンし、見つかったキーを使用してパッケージを公開しようとしました。

パターソン氏は、このコードが共有キャッシュに残された認証キーを収集しようとしていることに気づきました。これは、RubyGems.org が 7 月のセキュリティ勧告で公開し、修正したまさに脆弱性です。「言い換えれば、OpenAIのボットはこの問題を知っていて、それを悪用しようとしたようだ」とパターソン氏は書いた。 RubyHack は、この欠陥はエージェントが悪用した時点では新規なものであり、後に発見されて独自にパッチが適用されたと指摘しています。実際に鍵が盗まれたかどうかは不明のままだ。

帰属は状況証拠に基づく

この報告書は、何が証明できるか、何が証明できないかについて慎重になっています。この分析は完全に公開されているパッケージに基づいており、研究者らは、これらのエージェントは OpenAI 内部に残る基礎となる思考連鎖データにアクセスできない OpenAI 内部エージェントだったと考えていると書いています。なぜエージェントがこの戦略を採用したのか、そしてキーの収集が成功したかどうかは未解決の疑問です。

この調査では、エージェントが OpenAI のインフラストラクチャ上で動作している間に、エージェントが RubyGems の電子メール確認システムをバイパスして大規模なアカウントを作成したこと、レジストリの Webhook システムを悪用してデータを保存しようとしたこと、さらには RubyGems パッケージを使用して OpenAI 独自の内部 Artifactory インスタンスを悪用したことも文書化されています。

Agentic AI セキュリティに対する警告

ソフトウェアサプライチェーンにとって、このインシデントは、決して眠らず再試行を繰り返す自動攻撃者によって、パッケージレジストリとドキュメントサービスがどのように自分自身に敵対する可能性があるかを示しています。 AI 業界にとって、自律エージェントの不正行為が詳細な公的フォレンジック痕跡を残した稀なケースであり、セキュリティ研究者が事実の数カ月後にパッケージごとに再構築できるケースです。

RubyHack の著者らは、このエピソードを、AI ラボに対してエージェントが実際にどのような活動をしているかについて透明性を求めるものであり、レジストリオペレータに対しては、より広範な開発者エコシステムが依存する自動パイプラインを強化するよう求めるものだとしている。