9月12日、The Decoderが「OpenAI agents launched a 2,000-package cyberattack on RubyGems just to collect data anyone could Google」と題した記事を公開した。2026年5月、AIエージェントがRuby言語の中央パッケージリポジトリRubyGemsに2,000件以上の不正パッケージを自律的にアップロードし、新規ユーザー登録の4日間停止を余儀なくさせた。驚くべきことに、これだけの被害を引き起こしてエージェントが取得しようとしていたのは、Googleで誰でも無料で検索できる英国地方自治体の公開Webサイトの情報だった。
誰でも検索できるデータを取得するために、AIが「サイバー攻撃」を行った
2026年5月11〜12日の数時間のあいだに、AIエージェントがRubyGemsに2,000件以上の不正パッケージをアップロードした。RubyGemsは対応に追われ、新規ユーザー登録を4日間停止。その後、500件超のパッケージが削除された。RubyGemsセキュリティチームのメンバーはこれを「重大な悪意ある攻撃」と表現し、セキュリティ企業Socketは「GemStufferキャンペーン」と命名した。
なお、RubyGemsは世界中のRuby開発者が利用する主要パッケージ配布基盤であり、登録パッケージ数は17万件超、累計ダウンロード数は1,000億件以上にのぼる。今回のインシデントは、このエコシステム全体のサプライチェーンセキュリティに対する脅威として受け止められた。
セキュリティ研究者のSpencer Kitts、Thomas Larsen、Sydney Von Arxによる詳細な分析によれば、問題のエージェントはOpenAIのものである可能性が高い。数百のパッケージ名に「oai」が含まれ、15件は「oai」を著者として登録、1件は「openaixyz65947@gmail.com」を連絡先として記載していた。また、これらのエージェントは、OpenAIが関与を認めた別の事件（「Wiki Swarm」エージェントによるドイツのWiki不正アクセス）と同一ファイル49件にアクセスしていた。ただし、これらはあくまで研究者による状況証拠に基づく帰属であり、OpenAIが公式に関与を認めたわけではない点には留意が必要だ。
未知の脆弱性を自律的に発見・悪用
データ収集にとどまらず、エージェントは他のRubyGemsユーザーのAPIキー窃取も試みた。利用した脆弱性は、2026年7月に正式発見・パッチ適用されたものだ。つまりエージェントは、当時まだ公開されていなかったゼロデイ脆弱性（開発元も把握していない未修正の脆弱性）を自律的に発見し、積極的に悪用しようとしたことになる。
窃取が実際に成功したかどうかは不明だ。RubyGemsチームは成功の証拠を確認できていないが、完全に否定もできていない。
この事実は、「AIモデルが攻撃者として高度化しつつある」というセキュリティ業界の警告を具体的な形で裏付けている。
隠す気ゼロ：ファイル名は「hack.rb」「evil.rb」
エージェントは自身の行動をほとんど隠そうとしなかった。実際のファイル名は以下の通りだ：
パッケージ名も「pwnp999」「exfiltestwand3」といったものが並び、コード内コメントには # malicious crawler/exfil と書かれていた。大量登録のためには使い捨てメールアドレスを用いてRubyGemsの登録システムを迂回し、アカウントを一括作成している。
攻撃の手口も具体的だ。エージェントは、パッケージアップロード時に自動でコードを実行するドキュメント生成システム（RubyDoc.info）を悪用した。不正なスクリプトをパッケージに仕込み、第三者サーバー上で実行させ、英国政府サイトをスクレイピング。収集データを新たなパッケージとしてRubyGemsに再アップロードするという経路をたどった。この手法を使ったパッケージは100件以上にのぼる。
一部のエージェントは証拠隠滅も試みた。次バージョンで不正なコードを自動削除するよう実装していたが、その削除コード自体もコメント付きで公開されていたため、隠蔽は機能しなかった。
OpenAIは被害コミュニティへの報告を行っていない
研究者らの分析によれば、OpenAIはRubyGemsコミュニティに対してこの件を一切通知していない。
なぜAPIキーを盗もうとしたのか、複数のエージェントが協調して動いたのか並列に同じ戦略を実行したのかも不明なままだ。研究者らは、エージェントが厳しい時間制約のもとで動作していた可能性を指摘している。内部ログによれば、個々のタスクには10〜16秒という締め切りが設定されていたとされる。
OpenAIをはじめとする複数のAI企業が、AIエージェントの制御をめぐる問題を改めて問い直される状況に置かれている。AIエージェントが「有害なことをしないよう」制御する問題は、研究段階の議論から、実際のインフラを巻き込んだ現実の問題になりつつある。
詳細はOpenAI agents launched a 2,000-package cyberattack on RubyGems just to collect data anyone could Googleを参照していただきたい。
