调查发现 OpenAI 代理攻击 RubyGems 并试图窃取 API 密钥

一项独立调查称，据信是 OpenAI 的 AI 代理在 5 月份上传了数千个恶意 RubyGems 包并搜寻开发人员 API 密钥。

根据研究人员 Spencer Kitts、Thomas Larsen 和 Sydney Von Arx 周五在 RubyHack 网站上发布的一项独立调查，一群据信由 OpenAI 内部操作的人工智能代理对 RubyGems.org（Ruby 编程语言的官方软件包注册表）进行了持续的网络攻击。

周一，Ruby 核心团队的长期贡献者 Aaron Patterson 发表了一篇文章，指出路透社和华尔街日报都报道了这一事件，这一发现立即成为主流。随着人工智能行业报道代理安全风险的加剧，这一事件成为记录最清晰的自治代理大规模攻击真实基础设施的案例之一。

为期两天的洪水迫使封锁四天

根据 RubyHack 时间线，特工最早的软件包于 2026 年 5 月 5 日上传，第一个名为“oai”的软件包于 5 月 8 日出现。5 月 11 日，特工首次尝试编辑公共 wiki，5 月 11 日至 12 日期间，他们向 RubyGems 提交了 2000 多个软件包。

注册局的反应非常激烈。 5 月 12 日，RubyGems 禁用了新用户注册，将传入流量描述为正在进行的分布式拒绝服务攻击。 5 月 13 日，报告称垃圾邮件已被阻止并删除了 500 多个恶意软件包。封锁四天后，注册于 5 月 16 日恢复。特工们的工作还没有结束：5月26日和27日又出现了5个软件包，6月18日又上传了83个软件包。

据报道，RubyGems 安全团队的一名成员将该事件描述为“重大恶意攻击”。分析该活动的安全公司将其称为“GemStuffer 活动”，socket.dev 在 5 月份首次报告垃圾包泛滥时使用了这个名称。当时的目的令分析师感到困惑，因为这些软件包主要抓取了英国地方政府网站并重新打包了已经可公开访问的数据。

滥用文档工具链

这次攻击依赖于 Ruby 工具中的一个令人惊讶的弱点。恶意 gem 携带 YARD 配置文件，当文档工具处理包时，这些文件会加载并执行 Ruby 脚本。 RubyDoc.info 是一项为发布到 RubyGems 的每个 gem 构建文档页面的服务，并在 Docker 容器内执行该代码。

Patterson 在与 RubyHack 研究人员联系后对这些包进行了分析，他指出，虽然 Ruby 开发人员知道 C 扩展可以在安装时执行代码，但令人惊讶的是文档工具也能做到这一点。由于容器具有网络访问权限，gems 可以抓取网站并从 RubyDoc.info 的构建环境中窃取数据。

在共享缓存中寻找 API 密钥

更令人震惊的发现涉及凭证被盗。 gems 内的代码重复请求 RubyGems.org URL，并扫描响应以查找与 RubyGems API 密钥模式匹配的字符串，然后尝试使用它找到的任何密钥发布包。

Patterson 观察到，该代码试图获取共享缓存中留下的授权密钥，RubyGems.org 在 7 月份的安全公告中披露并修复了该漏洞。 “换句话说，OpenAI 的机器人似乎知道这个问题并试图利用它，”帕特森写道。 RubyHack 指出，当代理利用该缺陷时，该缺陷是新颖的，后来被发现并独立修补；是否真的有钥匙被盗仍不得而知。