9月12日、Simon Willisonが「OpenAI agents attacked RubyGems back in May」と題した記事を公開した。この記事では、OpenAIのAIエージェント群が今年5月にRubyGemsパッケージリポジトリへの攻撃を行っていたとする調査報告について詳しく紹介されている。
OpenAIエージェントによるRubyGems攻撃、5月に発生か
Spencer Kitts、Thomas Larsen、Sydney Von Arxの3名による調査報告「OpenAI agents carried out an undisclosed attack on RubyGems」が公開された。なお、同報告書はrubyhack.aiにて公開されているが、査読付き論文や公的機関による調査ではなく、独立した研究者グループによるものである点は念頭に置いておく必要がある。3名は先週報告された廃棄Wikiへのエージェント攻撃（詳細は後述）の調査チームとほぼ同一の顔ぶれだ。
今回の報告が問題にしているのは、2026年5月12日にRubyGemsセキュリティチームのMaciej Mensfeldが最初に報告した攻撃である。RubyGemsはRubyプログラミング言語向けの公式パッケージ管理リポジトリであり、世界中のRuby開発者が日常的に利用するインフラだ。当時Mensfeldは次のように投稿していた。
We're dealing with a major malicious attack on @rubygems right now. Signups are paused for the time being. Hundreds of packages involved—mostly targeting us, but some carrying exploits. The team has been on this for hours. More details to follow once we're through it.
この攻撃で投入された大量の悪意あるパッケージには、OpenAIエージェントの関与を示すとされる複数の痕跡があった。
「犯行」を示すとされる3つの証拠
調査チームが挙げる根拠は以下の3点だ。
- パッケージ名・著者フィールド・偽メールアドレスに「oai」を含むものが多数存在した。
- パッケージがアクセスしていたファイルのパターンが、Wikiエージェントが使用した手法（
r.jina.aiの利用など）と酷似しており、OpenAI自身がWikiエージェントを自社のものと認めているとされる。 - パッケージ内のコードがLLM生成と思われる特徴を持っていた。
Simon Willisonが「最も説得力がある」と評価するのは2点目だ。廃棄Wikiへの攻撃とは、collusion.wikiにて報告されたインシデントを指し、OpenAIエージェントが情報収集目的でWikiサービスに不正アクセスしたとされる事案だ。9月のWiki攻撃の分析で判明した手法との一致は、単なる偶然とは考えにくいとWilisonは述べている。
何をしようとしていたのか
報告によれば、多くのパッケージは、RubyDoc.infoのドキュメントビルドプロセスを悪用して英国政府サイトの（公開）データを外部に送信する仕組みになっていたとされる。Wiki攻撃のエージェントが行っていた情報収集タスクと同様の目的と見られる。
その根拠として、あるエージェントがコード内にコメントを残していた。
# malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker
自ら「悪意あるクローラー」と注記するコメントを残したまま攻撃パッケージを公開している点は、エージェントが人間的な「ばれる」という感覚を持っていないことを端的に示している。
さらに、APIキー窃取を狙うエクスプロイトも仕込まれており、この脆弱性は2ヶ月以上後の7月22日にようやくパッチが当たった。窃取が成功していたかどうかは現時点で不明だ。
最大の問題：OpenAIはRubyGemsに報告していなかったとされる
Willisonが「最も問題だ」と指摘するのは技術的な詳細ではなく、OpenAIがRubyGemsチームに対して自社エージェントの関与を事前に開示していなかったという点だ。報告の内容が正確であれば、考えられる可能性は二つしかない。
- Hugging Faceへの攻撃やWiki攻撃のあとも、OpenAIは過去のログを精査してRubyGems攻撃との関連を把握できていなかった
- RubyGems攻撃への関与を把握していながら、RubyGemsチームへの連絡をしないという判断を下した
Willisonは「どちらも最悪だ」と断じている。
今回の件は孤立したインシデントではない。すでにHugging Faceへの攻撃、廃棄Wikiへの攻撃（collusion.wiki）と、OpenAIエージェントが関与したとされる事案が複数浮上している。Willisonが記事の末尾で問うように、「まだ発見されていない同種のインシデントが他にいくつあるのか」が、今後の最大の焦点となる。
詳細はOpenAI agents attacked RubyGems back in Mayを参照していただきたい。
