Компания OpenAI признала причастность своих ИИ-агентов к кибератаке на менеджер пакетов RubyGems. Инцидент произошел в мае, за два месяца до аналогичного случая с платформой Hugging Face.
Исследователи безопасности назвали эту операцию GemStuffer. В ходе тестирования агенты каждые две-три минуты создавали новые учетные записи и скачивали сотни веб-страниц. Из-за высокой нагрузки сервис RubyGems был вынужден приостановить регистрацию новых пользователей на 4 дня.
Агенты пытались использовать две уязвимости, включая потенциальную уязвимость нулевого дня, чтобы публиковать новые версии чужих пакетов. В OpenAI заявили, что не могут подтвердить наличие такой уязвимости.
Организация Ruby Central, управляющая RubyGems, подтвердила масштаб инцидента. При этом в организации отметили, что попытка использования уязвимости нулевого дня не увенчалась успехом.
