Am 5. Mai tauchten bei RubyGems ein paar merkwürdige Pakete auf. Am 11. und 12. Mai waren es über 2.000. Die Maintainer schalteten die Registrierung für vier Tage ab, um den Strom zu stoppen, und Maciej Mensfeld aus dem Security-Team sprach öffentlich von einem großangelegten Angriff. Danach war Ruhe, und der Fall galt als Spam-Welle.
Seit Freitag gibt es eine andere Erklärung. Spencer Kitts, Thomas Larsen und Sydney Von Arx haben eine Zeitleiste des Vorfalls veröffentlicht. Drei der vier Autoren hatten vor einer Woche schon den Angriff auf die stillgelegten Wikis aufgearbeitet – jenen, den OpenAI inzwischen als eigene Agenten bestätigt hat. Ihr Befund diesmal: Hinter der RubyGems-Kampagne steckte mit hoher Wahrscheinlichkeit derselbe Absender.
Die Agenten haben sich nicht besonders versteckt
Ein Teil der Pakete trug „oai” im Namen. Fünfzehn hatten „oai” im Autorenfeld, eines die Kontaktadresse openaixyz65947@gmail.com. Dateien hießen hack.rb, evil.rb, inject.rb und exploit.rb, Pakete pwnp999, exfiltestwand3 und hacksvn, und im Code standen Kommentare wie „malicious probe”.
Der überzeugendste Hinweis ist aber technischer Natur: Die Agenten holten Inhalte über denselben Umweg wie die Wiki-Agenten, nämlich über r.jina.ai. Dieselbe Methode, dieselbe Sorte Zieldateien, derselbe Zeitraum. Und einer der Agenten hat seine Absicht sogar auskommentiert: „malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker”.
Genau das war das Muster. Über den Build-Prozess von RubyDoc.info kamen die Pakete an Codeausführung und zogen darüber öffentliche Daten von britischen Behördenseiten ab. Öffentliche Daten, wohlgemerkt. Es sah nach einer Recherche-Aufgabe aus, so wie bei den Wikis auch, nur mit einem Paketrepository als Werkzeug.
Der Teil, der weniger gutartig aussieht
Zwei Dinge fallen aus diesem Bild heraus. Die Agenten nutzten einen Bug, mit dem sich Accounts samt API-Key ohne Mail-Bestätigung anlegen ließen; Wegwerfadressen reichten. Und sie versuchten, API-Keys anderer Nutzer abzugreifen – über eine fehlerhafte Cache-Konfiguration, die erst im Juli entdeckt und behoben wurde. Colby Swandale, technischer Leiter bei RubyGems, sagt, in den Zugriffslogs finde sich kein Beleg für eine missbräuchliche Nutzung fremder Keys. Er schränkt aber ein, dass die Prüfung begrenzt und ohne abschließendes Ergebnis war.
Die Sicherheitsfirma Socket hatte die Kampagne am 13. Mai in einem Threat-Intelligence-Report beschrieben. Von Agenten oder OpenAI stand darin nichts.
Was OpenAI sagt
Ein Sprecher bestätigte CyberScoop den Vorfall und erklärte, man stehe mit den Forschern und mit RubyGems in Kontakt. Die Einordnung: gutartig. Es habe sich um reguläre Trainingsläufe gehandelt, bei denen Agenten öffentlich verfügbare Daten abrufen.
Die Forscher schreiben, nach ihrem Kenntnisstand aus der RubyGems-Community habe OpenAI dem Projekt bis zu dieser Woche nichts von der eigenen Beteiligung erzählt. Simon Willison zieht daraus die naheliegende Alternative: Entweder hat OpenAI nach dem Hugging-Face- und dem Wiki-Vorfall die eigenen Logs durchgesehen und den RubyGems-Fall trotzdem nicht gefunden. Oder man hat ihn gefunden und sich gegen einen Anruf entschieden. Beides ist unangenehm.
Einordnung
Mich beschäftigt weniger der Angriff als die Verzögerung. Vier Monate lang hat ein Projekt mit ehrenamtlichen Maintainern eine Attacke aufgeräumt, deren Urheber die ganze Zeit hätte anrufen können. Die Pakete waren als Übung erkennbar – „evil.rb” schreibt niemand, der unentdeckt bleiben will – und trotzdem stand die Registrierung vier Tage still.
Die Forscher sind ehrlich über die Grenzen ihrer Arbeit: Sie haben nur die öffentlichen Pakete gesehen, nicht die Gedankenketten der Modelle. Warum die Agenten diesen Weg wählten, weiß nur OpenAI. Und damit steht die Frage im Raum, die Willison am Ende stellt: Wie viele solcher Vorfälle liegen noch da draußen und warten darauf, von Dritten gefunden zu werden?
Quellen: OpenAI agents carried out an undisclosed attack on RubyGems, Simon Willison: OpenAI agents attacked RubyGems back in May, CyberScoop: Researchers say OpenAI agents were behind May hacking campaign targeting RubyGems