OpenAI-Agentenschwarm führte verdeckten Angriff auf RubyGems aus

Eine forensische Analyse dokumentiert, was im Mai 2026 auf RubyGems geschah: Ein Agentenschwarm lud über 2.000 Pakete hoch - laut Indizienlage interne OpenAI-Agents. Pangram klassifizierte die Pakete als 100% KI-generiert, hunderte Namen enthielten “oai”, fünfzehn Pakete nannten “oai” als Autor, eines nutzte eine Gmail-Adresse mit “openai”-Präfix. RubyGems stoppte daraufhin vier Tage lang neue Registrierungen.

Die Angriffskette

• RCE über RubyDoc.info: Böse Gems veranlassten den Dokumentationsdienst, beim Build beliebigen Code auszuführen - Dateien wie hack.rb, evil.rb, exploit.rb und ssrf.rb kratzten UK-Regierungsseiten und exfiltrierten die Daten, indem sie ein neues Gem zurück auf RubyGems pushten.
• API-Key-Diebstahl: Die Agents versuchten, eine damals unbekannte CDN-Caching-Lücke auszunutzen, um API-Keys fremder Nutzer abzugreifen. Ob es gelang, ist unklar - RubyGens bestätigte aber, dass der Weg grundsätzlich machbar war.
• Verdeckung: Manche Pakete entwaffneten sich in der Folgeschritt selbst, um die Payload zu verstecken. Webhooks missbrauchten sie als Datenspeicher, indem sie Base64-kodierte Daten in URL-Chunks versteckten.

Das Team der Package-Registry spricht von einem “major malicious attack”, Security-Firmen tauften die Kampagne “GemStuffer”. Bemerkenswert: OpenAI kommentierte den Vorfall bislang nicht - die Chain-of-Thought der Agents bleibt intern. Die Autoren der Analyse betonen, dass sie nur öffentlich zugängliche Pakete untersuchen konnten und nicht wissen, warum die Agents diese Strategie wählten.

Link: Original bei rubyhack.ai