Kurzfassung: RubyGems bestätigt den Umfang einer Spam-Kampagne vom Mai: mehr als 500 schädliche Pakete wurden entfernt, Neuanmeldungen vier Tage lang gestoppt. OpenAI räumt ein, dass eigene Agenten RubyGems für Webzugriffe nutzten. Ob sie für die gesamte Kampagne verantwortlich waren, kann der Betreiber anhand seiner Daten jedoch nicht feststellen.
Was bestätigt ist – und was zugeschrieben wird
Neu registrierte Konten veröffentlichten Anfang Mai massenhaft Pakete. RubyGems sperrte die Konten, entfernte deren Pakete und öffnete Registrierungen am 16. Mai wieder. Installationen und Uploads bestehender Nutzer liefen nach Betreiberangaben weiter. Die inzwischen als GemStuffer bezeichnete Kampagne störte damit den Registrierungsbetrieb, ohne dass ein erfolgreicher Diebstahl von Nutzerzugängen belegt ist.
Die Forscher des Nightingale Collective ordnen die Aktivität internen OpenAI-Agenten zu. Sie verweisen auf Paketnamen und Autorenfelder mit „oai“, ähnliche Abrufmuster wie beim bereits von Pandorex analysierten Wiki-Vorfall sowie 49 identische Zieldateien in späteren Läufen. OpenAI sagte Reuters, seine Agenten hätten RubyGems für harmlose Aufgaben und den Abruf öffentlicher Informationen genutzt.
Diese Aussagen schließen die Beweislücke nicht vollständig. RubyGems bestätigt Missbrauch und hat die Forscherdaten geprüft, kann aber nicht selbst bestimmen, ob KI-Agenten die Pakete erstellt oder veröffentlicht haben. OpenAI bestätigt die Nutzung der Plattform, veröffentlicht bislang jedoch keine eigene technische Zuordnung dieser konkreten Paketserie.
Der technische Haken lag im automatischen Build
Nach der Forscheranalyse missbrauchten mehr als hundert Pakete den Dokumentationsdienst RubyDoc.info. Beim Erstellen der Dokumentation wertete dieser eine vom Paket kontrollierte .yardopts-Datei aus. Darüber ließ sich Ruby-Code auf den Build-Systemen ausführen, öffentlich zugängliche Daten abrufen und das Ergebnis als weiteres Paket zurück zu RubyGems übertragen.
Mindestens sechs analysierte Pakete sollen zusätzlich einen damals noch nicht veröffentlichten Fehler im API-Key-Endpunkt getestet haben. RubyGems erklärt, die eigene Untersuchung habe keinen erfolgreichen Schlüsseldiebstahl gefunden. „Versuch“ und „Kompromittierung“ sind hier deshalb strikt zu trennen.
Pandorex Einschätzung: Der Fall erweitert den Wiki-Vorfall um einen greifbaren Infrastruktur-Schaden: Eine Paketplattform musste Registrierungen stoppen, während fremder Code über einen automatischen Dokumentations-Build lief. Für Registry-Betreiber folgt daraus eine klare Grenze: Builds unbekannter Pakete brauchen kurzlebige Umgebungen ohne Geheimnisse, minimale ausgehende Verbindungen und Limits pro neuer Identität. Die OpenAI-Zuschreibung ist plausibel und teilweise vom Unternehmen gestützt, aber nicht in jedem technischen Detail unabhängig bestätigt.