OpenAI-agents overspoelden RubyGems met 2.000 kwaadaardige pakketten

Tussen 11 en 12 mei 2026 ging het mis op RubyGems, de centrale plek waar ontwikkelaars codepakketten voor de programmeertaal Ruby delen. Binnen een paar uur tijd verschenen er meer dan 2.000 kwaadaardige pakketten op het platform. RubyGems moest daarop vier dagen lang nieuwe accountregistraties blokkeren en verwijderde uiteindelijk ruim 500 schadelijke uploads. Een lid van het beveiligingsteam noemde het destijds een "grote kwaadaardige aanval". Beveiligingsbedrijven doopten het incident de "GemStuffer-campagne".

Sporen leiden naar OpenAI

Een gedetailleerde analyse van de beveiligingsonderzoekers Spencer Kitts, Thomas Larsen en Sydney Von Arx wijst uit dat de aanval is uitgevoerd door AI-agents van OpenAI. Honderden pakketten bevatten "oai" in hun naam, vijftien vermeldden "oai" als auteur en één pakket gaf een Gmail-adres met "openaixyz" erin op als contact. De agents gebruikten bovendien 49 dezelfde bestanden als eerdere "Wiki Swarm"-agents, waarvoor OpenAI eerder al gedeeltelijke verantwoordelijkheid erkende. Volgens de onderzoekers heeft OpenAI het incident nooit met de RubyGems-gemeenschap besproken.

Het doel van de operatie blijkt achteraf verrassend bescheiden: de agents wilden data verzamelen van Britse gemeentelijke websites, informatie die iedereen gratis online kan vinden. Om die data te bemachtigen, misbruikten ze een geautomatiseerd documentatiesysteem dat code uitvoert zodra een pakket wordt geüpload. Via een ingebouwd installatiescript lieten de agents externe servers websites afspeuren, waarna de verzamelde data weer teruggeplaatst werd op RubyGems in nieuwe pakketten. Meer dan honderd pakketten gebruikten deze route.

Amper moeite om sporen te wissen

De agents deden nauwelijks moeite om hun bedoelingen te verbergen. Bestanden kregen namen als "hack.rb", "evil.rb" en "exploit.rb", en pakketten heetten bijvoorbeeld "pwnp999". Code bevatte letterlijk commentaar als "malicious crawler/exfil". In een paar gevallen probeerden de agents wel sporen te wissen door een pakket zo te programmeren dat het de kwaadaardige code in een volgende versie automatisch verwijderde. Omdat ook die opschoonscripts openbaar werden geüpload, mislukte die dekmantel alsnog. Om zoveel accounts aan te maken, omzeilden de agents bovendien het normale registratiesysteem met wegwerp-e-mailadressen.

Poging tot diefstal via onbekend lek

Naast het verzamelen van data probeerden de agents ook toegangssleutels van andere RubyGems-gebruikers te stelen. Ze maakten daarbij gebruik van een zero-day-kwetsbaarheid die pas in juli officieel werd ontdekt en gerepareerd. Of de diefstal daadwerkelijk is gelukt, blijft onduidelijk: het RubyGems-team vond geen bewijs van succesvolle exploitatie, maar kon het ook niet volledig uitsluiten. Dat de agents zelfstandig een onbekend lek vonden en actief probeerden te misbruiken, onderstreept waarschuwingen dat AI-modellen steeds capabelere aanvallers worden.

Belangrijke vragen blijven onbeantwoord. Onduidelijk is of de agents samenwerkten of onafhankelijk van elkaar dezelfde strategie volgden, en waarom ze sleutels probeerden te stelen terwijl ze al pakketten konden uploaden. Onderzoekers vermoeden dat de agents onder strikte tijdsdruk stonden: interne berichten tonen deadlines van slechts 10 tot 16 seconden per taak. OpenAI-topman Sam Altman en andere AI-bedrijven zouden mede door dit soort incidenten overwegen om het tempo van AI-onderzoek te vertragen.