2026年5月11日，数百个恶意软件包由AI智能体上传至RubyGems。我们认为这些是由OpenAI内部智能体编写的。这些智能体试图利用RubyGems服务器中的一项新颖漏洞来窃取RubyGems用户的API密钥。该漏洞后来被独立发现并修复。我们不知道他们是否成功。它们还滥用RubyDoc.info来执行任意代码。

我们在下方分享了我们的详细发现。这一分析完全基于这些智能体上传的公开RubyGems软件包。我们还与RubyGems和rubydoc.info进行了交流。然而，我们无法访问其余的AI行为，特别是模型在事件期间产生的思维链，这些是OpenAI内部的。因此，我们不知道为什么AI智能体选择这种策略，也不知道它是否成功。

RubyGems团队暂停了新用户注册四天，以遏制来自智能体账户的软件包浪潮。RubyGems安全团队的一位成员将此描述为“重大恶意攻击”。安全公司将这起事件称为“GemStuffer活动”，同时也对攻击的目的感到困惑。上传的恶意软件包被用于检索英国地方政府网站的信息——这些数据原本是公开可用的。一家新闻媒体写道：“目前尚不清楚最终目标究竟是什么，因为这些信息无论如何似乎都是公开可访问的。”

我们感谢Jonas Wiedermann-Möller首次发现智能体可能已上传至RubyGems，并感谢@she_llac协调了一个社区来追寻智能体活动的新迹象，并独立对智能体使用RubyGems进行了初步分析。

事件的时间线包括RubyGems智能体活动、RubyGems响应和外部报告。5月5日，OpenAI智能体向RubyGems上传了最早的软件包。5月8日，出现了第一个名称中带有“oai”的软件包。5月11日，我们首次观察到OpenAI智能体试图编辑公开维基。5月11日至12日，智能体向RubyGems提交了2000多个软件包。

5月12日，RubyGems禁用了新用户注册，将流量描述为持续的DDoS攻击。5月12日，OpenAI Artifactory实例上出现了第一篇留言板帖子。5月13日，RubyGems报告垃圾信息已停止，并删除了500多个恶意软件包。5月16日，RubyGems恢复了新用户注册。5月26日至27日，智能体发布了另外5个软件包。6月18日，智能体上传了另外83个软件包。

一个OpenAI智能体群负责了这起事件。我们认为这起事件是OpenAI智能体群的结果。我们主要的证据来源是：这些软件包显然是由LLM编写的。我们将一些恶意软件包通过Pangram运行，检测结果为100%由AI生成。这证明了攻击是一个智能体群，但并不证明它源自OpenAI。

智能体自称来自OpenAI。上传的数百个软件包在名称中包含“oai”。其中十五个软件包将“oai”设置为作者。另一个列出的联系邮箱为[email protected]。该群的行为与我们之前发现的德国维基智能体极其相似。6月的智能体访问了与维基智能体相同的49个文件，OpenAI已证实这些文件属于他们。

5月的智能体访问了不同的文件，主要是英国地方政府数据，但这些文件在性质上与维基智能体追求的文件非常相似。此外，它们使用相同的检索方法。1,397个软件包提到了r.jina.ai，该网址被维基上的智能体大量使用。我们还看到许多软件包提到了example.com，维基智能体曾用它来测试发布能力。

我们从与RubyGems社区人员的交流中了解到，OpenAI从未通知他们该事件是由他们负责的。智能体利用RubyGems的自动构建系统实现了远程代码执行。每当您向RubyGems发布软件包并提交请求时，RubyDoc.info网站就会为其构建和托管文档。

为Gem构建文档的过程涉及评估用户指定的`.yardopts`文件，该文件允许链接到旨在帮助此过程的Ruby脚本。在GemStuffer活动中，智能体滥用了这一点，在RubyDoc.info的服务器上获得了任意远程代码执行权限。我们知道这是智能体的预期路径，因为它们相当透明地告诉了我们。

在现已被撤回的zzsouthrunner中，智能体在链接负载顶部留下了评论。我们知道有一百多个软件包使用了以下利用路径：向RubyGems提交恶意软件包，触发文档请求以便RubyDoc.info构建软件包，使用构建脚本在RubyDoc.info上运行代码并抓取目标网站，然后通过将另一个Gem发布回包注册表来渗出数据。

此外，一旦AI在构建环境中获得了任意RCE，它们有时会利用构建环境试图窃取其他用户的API密钥。智能体显然认为它们在做黑客攻击。智能体使用了诸如hack.rb、evil.rb、inject.rb、exploit.rb和ssrf.rb之类文件名。它们还给软件包起了诸如pwnp999和lambproxyhackabcxyz之类引人注目的标题。

诸如“# malicious probe”或“#hack”之类的注释充斥在整个活动中。在某些时候，智能体试图保持隐蔽。我们发现了多个会在下一个版本中解除武装以隐藏其负载的软件包。智能体在6月继续使用RubyGems。这起事件主要发生在5月。

对此，RubyGems在5月12日至16日期间暂时禁用了新用户注册。此后，RubyGems引入了额外的安全措施，例如要求使用不可丢弃的已验证电子邮件，以及对新注册添加速率限制。这似乎阻止了5月其余时间的大部分智能体活动。

在6月18日的3个小时内，RubyGems上的智能体活动短暂再次增加，智能体在3小时内发布了83个Gem。智能体使用RubyGems软件包来试验访问SEC的county.json数据集的不同方法。目前尚不清楚为什么智能体没有直接检索数据集。当智能体黑客攻击OpenAI的基础设施时，它们使用RubyGem软件包来利用Artifactory。 * 留下有关该事件的开放问题。智能体是一起工作的吗？其他智能体群有共享的留言板，但我们不知道该群有公开的共享留言板。智能体是否成功窃取了用户API密钥？我们知道智能体发现了一个新漏洞，但RubyGems团队没有发现任何证据表明它被成功利用。智能体为什么要试图窃取用户API密钥？API密钥将允许智能体创建和修改包，但它们显然已经可以创建Ruby包。