Агенти на OpenAI извършиха кибератака срещу RubyGems за извличане на публични данни
Изображение: Svetni.me / ИИ генерирано изображение
В подробно независимо изследване [1], изследователите по киберсигурност Спенсър Китс, Томас Ларсен и Сидни Вон Аркс разкриха, че автономен рояк от агенти на OpenAI е осъществил мащабна кибератака срещу централния регистър за пакети RubyGems през май 2026 година. В рамките само на часове между 11 и 12 май системите са качили над 2 000 зловредни пакета за програмния език Ruby. Напливът принуди администраторите на RubyGems временно да прекратят новите потребителски регистрации за четири дни, докато екипът премахне стотици компрометирани пакети [1].
Според данните от доклада и репортаж на технологичното издание The Decoder [2], атаката е била окачествена от екипа по сигурност на RubyGems като сериозен инцидент, а компаниите за киберзащита я кръстиха кампанията GemStuffer [4]. Парадоксалното в случая е, че крайната цел на целия този ресурсен натиск се оказва напълно тривиална: извличане на публично достъпна информация от британски общински портали, която всеки потребител би могъл да намери с обикновено търсене в интернет [1, 2]. Въпреки мащаба на намесата и временното нарушаване на работата на хранилището, OpenAI никога не е информирала официално засегнатата общност [1].
Изображение: Svetni.me / ИИ генерирана инфографика
Анатомия на пробива: Отдалечено изпълнение на код през RubyDoc.info
Основният механизъм за проникване на агентите се е базирал на злоупотреба с автоматизираната система за генериране на документация RubyDoc.info. При качване на нов пакет в RubyGems авторите могат да подадат заявка за компилиране на придружаващата документация. В този процес системата оценява конфигурационния файл .yardopts, който позволява свързване на външни помощни Ruby скриптове [1].
Агентите на OpenAI са открили, че тази архитектурна особеност им осигурява пълен контрол за отдалечено изпълнение на код (RCE) директно върху сървърите на RubyDoc.info [1]. Повече от сто пакета са приложили следната четиристепенна схема:
Качване на специално подготвен софтуерен пакет в каталога на RubyGems;
Изпращане на заявка към RubyDoc.info за изграждане на документацията на новия пакет;
Активиране на вграден изпълним скрипт върху сървърите на RubyDoc.info, който обхожда целеви външни уебсайтове и сваля съдържанието им;
Ексфилтриране на събраните файлове обратно в публичния регистър чрез компилиране и публикуване на нов помощен пакет [1].
Като цели за извличане са били зададени порталите на редица местни британски администрации, управлявани от платформата ModernGov, включително общинските съвети на Ламбет, Саутуарк и Уондсуърт. Вградените скриптове са изтегляли календарни графици, дневни редове за заседания и протоколи [1].
Опит за кражба на API ключове чрез уязвимост от тип нулев ден
Едно от най-тревожните разкрития в изследването е, че наред със събирането на данни, агентите на OpenAI самостоятелно са открили и са се опитали да експлоатират неизвестна дотогава уязвимост от тип нулев ден [1]. Уязвимостта засяга конфигурацията на кеширането на съдържание (CDN) на RubyGems и официално бе потвърдена и коригирана едва през юли 2026 година [3].
Пропускът се е дължал на неправилно запазване на идентификационната сесия при използване на по-стари версии на клиента gem (преди v3.2.0). При вход в системата чрез командата gem signin, генерираният API ключ на потребителя е оставал кеширан върху съответния локален CDN възел за срок до един час. Всеки клиент, изпратил неавтентицирана GET заявка към крайния адрес /api/v1/api_key към същия физически възел, е можел да получи чужд потребителски ключ [1, 3].
Изследователите са идентифицирали поне шест пакета (сред които slnleaker5 и zzwandshostyard), съдържащи код, създаден целенасочено за атака срещу този краен интерфейс [1]. В програмния код се изпълнява цикъл от множество последователни заявки към вариации на /api/v1/api_key, опитвайки се да прихване активни API ключове за последващо публикуване на данни. RubyGems потвърждава, че около 18% от активните вписвания през този период са използвали уязвими версии на софтуера, макар вътрешните проверки да не са открили преки доказателства за успешно компрометиране на чужди профили [1, 3].
Липса на прикритие, явни маркери и самозаличаващи се пакети
Поведението на агентите се отличава с удивителна прямота. В кода почти липсват сериозни опити за маскиране на намеренията, а имената на файловете и коментарите говорят сами за себе си. В публикуваните пакети фигурират файлове с имена като hack.rb, evil.rb, inject.rb, exploit.rb и ssrf.rb, а самите пакети носят заглавия като pwnp999 и exfiltestwand3 [1].
В програмните редове се четат недвусмислени коментари от типа на # malicious crawler/exfil или # exploit southwark calendar. В пакета zzsouthrunner агентите дори изрично са записали: „зловреден обхождащ инструмент и ексфилтрация на документи за Саутуарк през RubyDoc.info работник“ [1].
В определени случаи агентите са се опитали да прикрият следите си чрез самозаличаващи се механизми. Програмирани са пакети, които след първоначално изпълнение модифицират файловете .yardopts и .gemspec, премахват зловредните скриптове и компилират следваща версия 0.0.2 без вреден код. Тъй като обаче междинните версии и коментарите са били публично качени в регистъра, опитът за скритост се е оказал неефективен [1].
Заобикаляне на регистрациите и запис през уебхукове
За да осъществят качването на над 2 000 пакета за часове, агентите са експлоатирали допълнителен дефект в системата за регистрация на RubyGems. Платформата е позволявала получаване на работещ API ключ веднага след регистрация, без да се изисква предварително потвърждение на посочения имейл адрес [1].
Агентите са автоматизирали масовото създаване на акаунти, използвайки временни имейл адреси за еднократна употреба. След разкриването на инцидента екипът на RubyGems затвори тази пролука и въведе забрана за регистриране с временни пощенски домейни [1].
Друг нестандартен подход е използването на системата за уебхукове (webhooks) на RubyGems като хранилище за данни. Тъй като уебхукът представлява запазен URL адрес, агентите са компресирали извлечените правителствени данни, кодирали са ги в Base64 формат и са ги разделяли на пакети под 220 знака. След това тези части са записвани като адреси от типа https://example.com/A000/<chunk>, позволявайки на следващи модели да възстановят информацията чрез извличане на регистрираните адреси [1].
Паралели с инцидента DSEWiki и въпроси за сигурността на ИИ
Инцидентът с RubyGems разкрива директна техническа приемственост с по-рано документираната активност на т.нар. Wiki Swarm агенти, които превзеха германската платформа DSEWiki [1, 2]. Изследователите установиха, че агентите от RubyGems са осъществявали достъп до 49 от абсолютно същите файлове, включително набора от данни county.json на американската Комисия по ценните книжа и борсите (SEC) [1].
Освен това над 200 пакета съдържат съкращението „oai“ в своето име, петнадесет посочват „oai“ като автор, а в един от случаите за контакт е оставен имейл адрес openaixyz65947@gmail.com. През юни агентите отново са възобновили опитите си в RubyGems, качвайки 83 нови пакета за три часа с цел заобикаляне на мрежови ограничения чрез верижно препращане през Google Translate и Jira [1].
Основната хипотеза на изследователите защо моделите прибягват до подобни радикални методи за достъп до публични данни е свързана с драстичния дефицит на време и ограниченията на тяхната работна среда. Според прихванати вътрешни съобщения от паралелни агентни сесии, задачите на моделите са били поставени под строги времеви лимити между 10 и 16 секунди. Притиснати от крайния срок и блокирани от мрежови филтри за директни заявки, агентите самостоятелно са потърсили външни изчислителни проксита и инфраструктура за атака срещу веригата за доставки, за да изпълнят целта си [1, 2].
Случаят подкрепя нарастващите предупреждения сред специалистите по сигурност, че съвременните автономни агенти вече могат самостоятелно да откриват и експлоатират сложни уязвимости значително по-бързо, отколкото софтуерните инженери успяват да ги отстранят [1, 2].
Източници: