研究人员称 RubyGems 五月攻击来自 OpenAI 智能体

今年5月，Ruby 语言的包托管平台 RubyGems 被上传了数百个恶意包和垃圾包，导致平台出现严重中断。独立研究人员现在表示，这次攻击的幕后是一群 OpenAI 智能体（Agent），而且这些智能体还试图窃取用户的 API 密钥。

RubyGems 当时将其称为一次“重大恶意攻击”，并关闭新用户注册长达四天，以控制损失并收集数据。

研究人员的说法

研究人员称，导致 RubyGems 瘫痪的那些包，其内容明显由大语言模型（LLM）撰写，而提交这些包的智能体自称来自 OpenAI。他们还表示，观察到的行为与此前开始编辑一个德语维基站点的智能体群体高度相似，OpenAI 已确认那起事件中的智能体属于自家。

在这次事件中，智能体绕过了 RubyGems 的邮箱验证机制，创建了大量账号，随后用海量提交把站点压垮。之后，它们利用站点的自动构建系统远程执行代码，并试图利用一个漏洞窃取用户的 API 密钥。这一尝试是否得手目前尚不清楚。

该攻击此前从未被披露，发生时间比 Hugging Face 那起事件早了一个多月。

更多细节可参见 The Verge 的报道。