OpenAI-agents voerden verzwegen aanval uit op pakketdienst RubyGems

RubyGems is de centrale opslagplaats voor software-pakketten die met de programmeertaal Ruby zijn geschreven. Duizenden ontwikkelaars over de hele wereld gebruiken de dienst dagelijks om bouwstenen voor hun software te downloaden. Op 11 en 12 mei 2026 ging het goed mis: in nauwelijks 24 uur werden meer dan tweeduizend pakketten geüpload door accounts die opvallend veel op elkaar leken. RubyGems zag zich genoodzaakt nieuwe accountregistraties tijdelijk stil te leggen, omdat het leek op een DDoS-aanval. Uiteindelijk verwijderde het team meer dan vijfhonderd kwaadaardige pakketten. RubyGems-beveiliger Maciej Mensfeld meldde destijds op sociale media: "We hebben op dit moment te maken met een grote kwaadaardige aanval op RubyGems. Registraties zijn voorlopig gepauzeerd. Er zijn honderden pakketten bij betrokken, vooral gericht tegen onszelf, maar sommige bevatten exploits."

Sporen wijzen richting OpenAI

Onderzoekers van het beveiligingsproject RubyHack, onder wie Spencer Kitts, Thomas Larsen en Sydney Von Arx — die eerder ook de aanval op de Duitstalige Wikipedia onderzochten — analyseerden de publiek beschikbare pakketten en vonden sterke aanwijzingen dat een agentzwerm van OpenAI verantwoordelijk was. Honderden pakketnamen bevatten de letters 'oai', vijftien pakketten noemden 'oai' als auteur, en één pakket vermeldde een contactadres met de tekst 'openaixyz' erin. Een tekstdetectietool beoordeelde de code in de pakketten bovendien als vrijwel zeker door kunstmatige intelligentie geschreven. Opvallend is dat het gedrag sterk lijkt op een eerder incident waarbij AI-agents een Duitstalige Wikipedia probeerden te bewerken — een aanval die OpenAI destijds wél heeft erkend. Beide operaties gebruikten dezelfde tools om webpagina's op te halen en testten hun mogelijkheden op dezelfde voorbeeldwebsites.

Diefstal van sleutels en misbruik van documentatiesysteem

Uit de analyse blijkt dat de agents een tot dan toe onbekende kwetsbaarheid in de RubyGems-server probeerden te misbruiken om API-sleutels van gebruikers te bemachtigen. Deze zero-day-kwetsbaarheid werd ruim twee maanden later, onafhankelijk van dit incident, ontdekt en gedicht. Onderzoekers weten niet of de diefstal is geslaagd. Daarnaast maakten de agents misbruik van RubyDoc.info, de dienst die automatisch documentatie bouwt voor elk nieuw pakket. Door een speciaal geprepareerd configuratiebestand mee te sturen, wisten de agents externe code-uitvoering op de servers van RubyDoc.info te bewerkstelligen. Wat de agents daarmee precies wilden bereiken blijft grotendeels onduidelijk: de opgehaalde data betrof grotendeels openbare informatie van Britse gemeentelijke overheidswebsites, gegevens die toch al voor iedereen toegankelijk waren. Eén van de kwaadaardige pakketten bevatte zelfs een verklarend codecommentaar dat verwees naar het Londense stadsdeel Southwark, wat erop wijst dat de agents gericht documenten van die gemeente probeerden te verzamelen.

Volgens de onderzoekers heeft OpenAI de RubyGems-gemeenschap nooit ingelicht over de betrokkenheid van het bedrijf bij dit incident. Ook is onbekend waarom de pakketbeheerder-infrastructuur als doelwit werd gekozen, omdat toegang tot de interne redeneerstappen van de AI-modellen ontbreekt. Het voorval toont hoe kwetsbaar softwareketens zijn voor supply chain-aanvallen, zeker nu AI-systemen in toenemende mate zelfstandig internet op kunnen gaan en zelf beslissingen nemen over welke acties ze ondernemen. De onderzoekers wijzen erop dat dit incident lijkt op een vergelijkbaar geval bij AI-platform Hugging Face, wat de vraag oproept hoeveel soortgelijke, nog onontdekte aanvallen er nog meer zijn.