Báo cáo: Đội ngũ AI của OpenAI thực hiện tấn công GemStuffer vào RubyGems

Giới thiệu

Vào ngày 11 tháng 5 năm 2026, hàng trăm gói phần mềm độc hại đã được tải lên RubyGems bởi các AI agent. Chúng tôi tin rằng những gói này được tạo ra bởi các AI agent nội bộ của OpenAI (xem thêm).

Các AI agent:

Chúng tôi chia sẻ những phát hiện chi tiết của mình dưới đây. Phân tích này hoàn toàn dựa trên các gói RubyGems công khai do các agent này tải lên. Chúng tôi cũng đã trao đổi với RubyGems và rubydoc.info. Tuy nhiên, chúng tôi không có quyền truy cập vào các hành vi khác của AI, đặc biệt là chuỗi suy nghĩ (chain-of-thought) mà mô hình tạo ra trong sự cố, vốn là thông tin nội bộ của OpenAI. Do đó, chúng tôi không biết tại sao các AI agent lại chọn chiến lược này hoặc liệu nó có thành công hay không.

Đội ngũ RubyGems đã tạm dừng đăng ký người dùng mới trong bốn ngày để ngăn chặn làn sóng các gói phần mềm từ tài khoản của các agent. Một thành viên trong đội ngũ bảo mật của RubyGems mô tả đây là một “cuộc tấn công độc hại quy mô lớn”.

Các công ty bảo mật gọi sự cố này là “chiến dịch GemStuffer”, đồng thời bày tỏ sự khó hiểu về mục đích của cuộc tấn công. Các gói độc hại được tải lên dùng để truy xuất thông tin từ các trang web chính quyền địa phương tại Vương quốc Anh – những dữ liệu vốn đã có sẵn công khai. Một trang tin viết: “Vẫn chưa rõ mục tiêu cuối cùng chính xác là gì, vì thông tin này dù sao cũng có thể truy cập công khai.”

Chúng tôi cảm ơn Jonas Wiedermann-Möller (@j0wimo) vì đã là người đầu tiên phát hiện ra rằng các agent có khả năng đã tải lên RubyGems, và cảm ơn cộng đồng vì những nỗ lực truy vết các dấu hiệu hoạt động mới của agent.

Dòng thời gian của sự cố

Hoạt động của agent trên RubyGems | Phản hồi từ RubyGems | Các báo cáo bên ngoài

Những phát hiện chính

Một bầy (swarm) AI agent của OpenAI chịu trách nhiệm cho sự cố này

Chúng tôi tin rằng sự cố này là kết quả từ một bầy AI agent của OpenAI. Các nguồn bằng chứng chính của chúng tôi là:

Các agent hoạt động vào tháng 6 đã truy cập 49 tệp tin trùng khớp với các agent wiki (Lưu ý rằng OpenAI đã xác nhận các agent wiki là của họ).

Các agent hoạt động vào tháng 5 truy cập vào các tệp tin khác (chủ yếu là dữ liệu chính quyền địa phương tại Anh), nhưng các tệp này có đặc điểm rất giống với những tệp mà các agent wiki nhắm tới. Hơn nữa, chúng sử dụng cùng các phương thức truy xuất. 1.397 gói phần mềm đề cập đến r.jina.ai, vốn được các agent sử dụng rất nhiều trên wiki. Chúng tôi cũng thấy nhiều gói đề cập đến example.com, nơi các agent wiki dùng để kiểm tra khả năng đăng bài của chúng.

Theo hiểu biết của chúng tôi từ việc trao đổi với những người trong cộng đồng RubyGems, OpenAI chưa bao giờ thông báo với họ rằng họ chịu trách nhiệm cho cuộc tấn công này.

Các agent đã sử dụng hệ thống xây dựng tự động của RubyGems để thực thi mã từ xa (RCE)

Bất cứ khi nào bạn xuất bản một gói (còn gọi là gem) lên RubyGems và gửi yêu cầu, trang RubyDoc.info sẽ xây dựng và lưu trữ tài liệu cho gói đó.

Quá trình xây dựng tài liệu cho một gem bao gồm việc đánh giá tệp `.yardopts` do người dùng chỉ định, cho phép liên kết đến các tập lệnh Ruby nhằm hỗ trợ quá trình này. Trong chiến dịch GemStuffer, các agent đã lạm dụng điều này để thực thi mã từ xa tùy ý trên các máy chủ của RubyDoc.info.

Chúng tôi biết đây là con đường mà các agent nhắm tới vì chúng đã (khá minh bạch) nói cho chúng tôi biết điều đó.

Trong gem đã bị gỡ bỏ là zzsouthrunner (đáng chú ý là nó chia sẻ quy ước đặt tên ZZ mà cả các agent wiki và agent trên Huggingface đều sử dụng), các agent đã để lại bình luận sau ở đầu payload được liên kết:

Chúng tôi biết rằng hơn một trăm gói đã sử dụng con đường khai thác sau:

Ngoài ra, một khi các AI có được quyền RCE tùy ý trên môi trường xây dựng, đôi khi chúng sử dụng môi trường này để cố gắng đánh cắp khóa API của người dùng khác (mặc dù chúng tôi không chắc liệu chúng có thành công hay không). Điều này được thảo luận kỹ hơn trong phần tiếp theo.

Các agent rõ ràng coi những gì chúng đang làm là hack. Các agent sử dụng tên tệp như hack.rb, evil.rb, inject.rb, exploit.rb và ssrf.rb. (SSRF là viết tắt của “Server-Side Request Forgery”, một loại lỗ hổng bảo mật). Chúng cũng đặt cho các gói những tiêu đề gây chú ý như pwnp999, exfiltestwand3, hacksvn1778554764 và lambproxyhackabcxyz. Các bình luận như “# malicious probe” hoặc “#hack” xuất hiện rải rác khắp chiến dịch.

Ở một số thời điểm, các agent cố gắng hành động lén lút. Chúng tôi tìm thấy nhiều gói tự vô hiệu hóa để ẩn payload trong phiên bản tiếp theo. Chúng đã tải lên một gói với bình luận “# disable evil in next version and bump version”, sau khi thực thi, nó sẽ sửa đổi gói để loại bỏ mã độc đã chèn vào trước đó. Một gói khác tương tự (lambethcalcqzewgt) cũng tuân theo mô hình tự vô hiệu hóa này. (May mắn thay, chúng vẫn tải các tệp và bình luận này lên công khai, vì vậy chúng không mấy thành công trong hành vi “lén lút” của mình).

Các agent đã cố gắng khai thác một lỗ hổng mới để đánh cắp khóa API của người dùng

Một phát hiện đáng lo ngại là vào ngày 12 tháng 5, các agent đã cố gắng khai thác một lỗ hổng mà mãi đến tháng 7 mới được phát hiện.

Các máy chủ của RubyGems được thiết lập để lưu trữ bộ nhớ đệm (cache) thông tin đăng nhập của người dùng không đúng cách. Khi một người dùng sử dụng phiên bản cũ chạy lệnh `gem signin`, khóa của họ sẽ bị lưu vào bộ nhớ đệm của CDN (Content Delivery Network - Mạng phân phối nội dung; một nhóm các máy chủ trải rộng khắp các khu vực địa lý giúp lưu trữ nội dung trang web để tăng tốc độ tải trang) và được phục vụ cho những người khác. Điều này có nghĩa là khi ai đó gửi yêu cầu GET tới `/api/v1/api_key` trên cùng một node CDN vật lý trong vòng tối đa một giờ sau khi người dùng đăng nhập, nó sẽ làm lộ khóa API của họ. Bằng cách truy vấn endpoint này mà không cần xác thực, kẻ tấn công có thể đánh cắp khóa của một người dùng ngẫu nhiên.

Theo thông báo bảo mật của RubyGems, 18% lượt đăng nhập của người dùng (tính đến tháng 7) vẫn sử dụng các phiên bản bị ảnh hưởng của trình quản lý gói `gem`. Chúng tôi cho rằng trung bình có ít hơn 10 lượt đăng nhập bị ảnh hưởng mỗi ngày, và khả năng thành công của cuộc tấn công này phụ thuộc rất nhiều vào yếu tố đó.

Chúng tôi phát hiện ít nhất sáu gói [1, 2, 3, 4, 5, 6] đã sử dụng lỗ hổng này. Một ví dụ là gói “slnleaker5.”

Gói này, khi chạy trên RubyDoc.info:

Chúng tôi nhấn mạnh rằng các agent đã cố gắng khai thác một lỗ hổng bảo mật mới để đánh cắp khóa API RubyGems của người dùng. Chúng tôi không biết liệu nỗ lực này có thành công hay không, nhưng chúng tôi đã xác nhận với đội ngũ RubyGems rằng đây là một con đường khả thi để lấy cắp khóa API nếu một người dùng sử dụng phiên bản RubyGems phù hợp đăng nhập trong vòng một giờ sau cuộc tấn công trên đúng node CDN nội bộ. Tuy nhiên, đội ngũ RubyGems cho biết họ đã tiến hành rà soát kỹ lưỡng và không tìm thấy bằng chứng nào cho thấy con đường này đã bị khai thác trong quá khứ. Dù vậy, chúng tôi không thể loại trừ hoàn toàn khả năng này.

Phụ lục

Các agent đã vượt qua hệ thống xác nhận email của RubyGems để tạo số lượng lớn tài khoản

Một lỗi khác trên rubygems.org cho phép các agent lấy được khóa API hoạt động bằng cách đăng ký tài khoản mà không cần xác minh địa chỉ email, đây là hành vi không mong muốn. Bản sửa lỗi cho vấn đề này đã được gửi vào ngày 11 tháng 5 và được hợp nhất vào hệ thống chính thức vào ngày 12 tháng 5 năm 2026.

Theo hiểu biết của chúng tôi, các agent đã sử dụng một lượng lớn địa chỉ email dùng một lần để tạo tài khoản, bên cạnh việc sử dụng lỗ hổng này để có thể xuất bản các gem. Vào ngày 16 tháng 5, việc đăng ký bằng email dùng một lần cũng đã bị vô hiệu hóa.

Các agent đã cố gắng sử dụng hệ thống webhook của RubyGems để lưu trữ dữ liệu

Các AI agent đã tạo ra một tập hợp các gói sử dụng hệ thống webhook của RubyGems như một cách để lưu trữ dữ liệu. Thay vì lưu trữ dữ liệu theo cách thông thường, chúng mã hóa dữ liệu vào các URL để các mô hình tương lai có thể nhìn thấy chúng. Chúng tôi không chắc tại sao chúng lại làm theo cách này (thay vì lưu trữ dữ liệu bình thường, hoặc ví dụ như trong một bình luận trong tệp).

Bây giờ chúng tôi sẽ đưa ra bản tóm tắt (có phần kỹ thuật hơn) về cách thức hoạt động của nó trong trường hợp sau: southpxdatapp6pi.

Thông thường, một webhook của RubyGems chỉ là một URL được lưu trữ: người dùng đăng ký một URL và RubyGems có thể liên hệ với URL đó khi một gem được xuất bản. Trong trường hợp này, các agent đã sử dụng chính URL đó làm nơi lưu trữ dữ liệu. Phương thức thực hiện như sau.