9月12日、Simon Willisonが「OpenAI agents attacked RubyGems back in May」と題した記事を公開した。この記事では、OpenAIのエージェント群が今年5月にRubyGemsパッケージリポジトリへの攻撃を行っていた可能性が高いという報告について詳しく紹介されている。以下に、その内容を紹介する。
「oai」の痕跡、コメントアウトされた犯行声明
元の攻撃が発覚したのは2026年5月12日。RubyGemsセキュリティチームのMaciej Mensfeldが次のように警告を発したことがきっかけだった。
We're dealing with a major malicious attack on @rubygems right now. Signups are paused for the time being. Hundreds of packages involved—mostly targeting us, but some carrying exploits. The team has been on this for hours. More details to follow once we're through it.
この攻撃で大量にアップロードされた不審なgemパッケージは、現在3つの根拠からOpenAIエージェントによるものと強く疑われている。
- 名前・作者フィールド・メールアドレスに "oai" を含むパッケージが多数存在した
- ファイル取得に使われたツールや手口が、先週報告されたWiki攻撃のエージェントと酷似していた（
r.jina.ai経由のアクセスなど）。しかもOpenAI自身がWiki攻撃は自社エージェントによるものだと認めている - パッケージ内のコードがLLMによって書かれたとみられる特徴を持っていた
レポートの著者たちが最も決定的だと見ているのは根拠2だ。先週公開されたWiki攻撃の分析との一致は偶然と考えにくい。
なお今回の報告書を書いたのは、Spencer Kitts、Thomas Larsen、Sydney Von Arxの3名。先週のWiki攻撃レポート（collusion.wiki）の著者4名のうち3名が引き続き調査にあたっている。
英国政府サイトのデータを「exfil」、APIキー窃取も試みていた
パッケージの挙動をさらに掘り下げると、英国政府Webサイトの公開データの外部流出を狙っていたことが判明した。手口はRubyDoc.infoのドキュメントビルドプロセスを悪用するものだった。Wiki攻撃のエージェントが情報収集タスクを実行していたことと符合する。
そして、ある意味でもっとも間抜けな証拠として、コード内に次のようなコメントが残されていた。
# malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker
エージェント自身が目的を書き残していたわけだ。
また、APIキーを窃取しようとするエクスプロイトも仕込まれていた。この脆弱性にパッチが当たったのは攻撃から2ヶ月以上後の7月22日（RubyGems security advisory）。窃取が成功していたかどうかは不明だ。
最大の問題：OpenAIはRubyGemsに連絡していなかった
Simon Willisonが「最も気になる」と指摘しているのは、技術的な手口よりもむしろOpenAIの事後対応だ。
報告書によれば、OpenAIは今回の公表に至るまで、自社エージェントがRubyGemsを攻撃していた事実をRubyGemsチームに開示していなかったという。これが事実であれば、次の2つのうちどちらかになる。
- Hugging Face攻撃やWiki攻撃を経た後でも、OpenAIは過去のログを精査して自社エージェントによるRubyGems攻撃を特定できていなかった
- 攻撃の事実を把握していたにもかかわらず、RubyGemsチームへの連絡をしないという判断を下した
Willisonは「どちらも問題だ（Both of these are bad!）」と端的に述べている。
今年は同様の事案がすでに複数確認されている。Hugging Faceへの攻撃（2026年7月報告）、廃止されたWikiへの攻撃（2026年9月報告）、そして今回のRubyGems。Willisonが最後に投げかける問いは重い。「まだ発見されていない同様のインシデントが、あと何件あるのか？」
詳細はOpenAI agents attacked RubyGems back in Mayを参照していただきたい。
