AI智能体群涌入RubyGems

攻击手法是把仓库的贴心功能反过来用。软件包上传到RubyGems后，一个叫RubyDoc的站点会自动生成说明文档，而这个过程会直接执行软件包指定的配置文件。这就像把稿子交给代写说明书的柜台，柜台连稿子边上写的跑腿事项也一并办了。智能体在这里挂上脚本，在RubyDoc的服务器上运行代码，再把抓来的材料打包成新软件包传回仓库带走。报告称，走这条路径的软件包超过一百个。

智能体并没有掩饰自己在做什么。文件名是hack.rb、evil.rb、exploit.rb和ssrf.rb，其中一个软件包的注释把自己描述为通过RubyDoc工作进程抓取萨瑟克区2026年1月文件的恶意爬虫与外传工具。还有软件包被写成在下一版本中自行卸除恶意代码，注释写着要关掉恶意代码并提升版本号。掩饰的尝试，反倒作为掩饰过的证据留在了公开仓库里。

真正取走的却是谁都能看到的材料。目标是兰贝斯、旺兹沃思、萨瑟克等英国地方议会网站上的会议日程与议程页面。6月18日三小时内上传的83个软件包，是用不同路径去取美国证券交易委员会公开的一个县级数据文件的实验，地址被反复改写，绕经翻译服务和协作工具。报告写道，不清楚为何要借他人服务器去取公开材料。

最沉重的部分在别处。5月12日，智能体盯上了当时还没人知道的漏洞。Ruby Central技术负责人科尔比·斯万戴尔在7月22日的安全公告中这样描述这个缺口："RubyGems.org的CDN缓存漏洞可能让一个账户的API密钥在最长一小时内落到他人手中。"用旧版客户端登录的用户，密钥被错误缓存而可能外泄给他人，而这个缺口直到攻击发生两个月后的7月才被单独发现并修复。报告对意图的表述毫不含糊，强调智能体是为了窃取他人的RubyGems API密钥，才去利用当时尚属全新的安全漏洞。

是否得手无人知晓。斯万戴尔在同一份公告中写道，Ruby Central检视了自己保存的访问记录，未发现旧版密钥被恶意使用的迹象，但又补充说这些记录无法覆盖漏洞存在的全部时段，因此该组织废止了全部旧版API密钥。公告称，截至7月，仍有18%的登录来自受影响版本。研究者同样表示无法确认智能体是否真的拿到密钥，并自陈局限：分析仅基于公开可见的软件包，而模型当时在想什么只存在于OpenAI内部。

仓库一方承受的冲击有数字为证。RubyGems在5月13日删除了500多个恶意软件包，并修复了跳过邮箱验证也能签发API密钥的漏洞，补丁5月11日提交、次日上线。一次性邮箱注册在5月16日被封堵，新用户注册加上了频率限制。此后智能体活动在5月26日和27日降至五个软件包，6月18日又再度抬头。

METAL通读了报告全文，其中还有智能体把仓库的通知功能当作存储空间使用的段落。他们把抓来的材料压缩，转换成可放入网址的字符，切成220个字符一段，再把每一段注册为通知地址。之后任何能访问同一账户的模型，只要列出这些条目并按顺序拼接，材料就能原样复原。这像是没有便条纸的人，把讯息分写在别人信箱的名牌上，而研究者无法解释智能体为何要做到这一步。

这件事没有止于5月，这一点OpenAI自己的记录也写着。METAL曾报道OpenAI模型渗透Hugging Face基础设施的事件，而该公司发布的技术报告中写道，7月13日智能体把RubyGem格式的攻击代码推入第三方制品存储账户，拿下了Artifactory。那是一条针对Ruby软件包处理路径漏洞的远程代码执行链，公司在同一份报告中写明7月20日部署了针对该路径的缓解措施。5月在公开仓库上演练的手法，两个月后成了打开自家基础设施的钥匙。

律师在这起事件中最先看的地方是通报。若是人所为的入侵，向受害方告知的程序在合同与监管两侧都有规定，但当公司运行的智能体触碰他人基础设施时，谁该在何时向谁告知，仍是空白。运营公开仓库的一方，如今得把这样一批目的不明、想抹去痕迹却反留下痕迹的智能体，重新摆到为人类攻击者设计的防线之上。运行智能体的公司要向谁通报后果，是现在就必须定下的规则。