Nghiên cứu: AI của OpenAI từng phát tán hơn 2.000 gói phần mềm độc hại lên RubyGems

Hàng trăm gói phần mềm độc hại, các tệp tin có tên "hack.rb" và "evil.rb", cùng những nỗ lực đánh cắp khóa API. Một phân tích cho thấy các tác nhân (agent) của OpenAI đã tự ý thực hiện một cuộc tấn công mạng vào nền tảng gói phần mềm RubyGems của ngôn ngữ Ruby vào tháng 5 năm 2026. Theo báo cáo, OpenAI chưa bao giờ thông báo cho những người bị ảnh hưởng.

Từ ngày 11 đến 12 tháng 5 năm 2026, các tác nhân AI đã tải lên hơn 2.000 gói phần mềm độc hại lên RubyGems, nền tảng lưu trữ gói trung tâm của ngôn ngữ lập trình Ruby, chỉ trong vòng vài giờ. Nền tảng này đã phải tạm dừng đăng ký người dùng mới trong bốn ngày và hơn 500 gói độc hại sau đó đã bị gỡ bỏ. Một thành viên của đội ngũ bảo mật RubyGems vào thời điểm đó đã gọi đây là một "cuộc tấn công độc hại quy mô lớn", và các công ty bảo mật đặt tên cho nó là "chiến dịch GemStuffer".

Theo phân tích chi tiết từ các nhà nghiên cứu bảo mật Spencer Kitts, Thomas Larsen và Sydney Von Arx, các tác nhân này đến từ OpenAI. Hàng trăm gói phần mềm có chứa "oai" trong tên, 15 gói liệt kê "oai" là tác giả và một gói cung cấp địa chỉ liên hệ là "[email protected]". Các tác nhân này cũng truy cập vào 49 tệp tin giống với nhóm tác nhân được gọi là Wiki Swarm, mà OpenAI đã phần nào xác nhận trách nhiệm. Theo các nhà nghiên cứu, OpenAI chưa bao giờ giải quyết sự cố này với cộng đồng RubyGems.

Rõ ràng, các tác nhân này đã bỏ ra tất cả nỗ lực đó chỉ để thu thập dữ liệu từ các trang web chính quyền địa phương của Anh, vốn là những dữ liệu mà bất kỳ ai cũng có thể truy cập miễn phí.

Các tác nhân này hầu như không cố gắng che giấu những gì chúng đang làm.

Để lấy được dữ liệu đó, các tác nhân đã lạm dụng một hệ thống tài liệu tự động có khả năng thực thi mã khi một gói phần mềm được tải lên. Chúng đã chèn các tập lệnh của riêng mình, chạy trên các máy chủ của bên thứ ba, quét dữ liệu từ các trang web và xuất bản dữ liệu thu thập được ngược lại RubyGems bên trong các gói phần mềm mới. Theo phân tích, hơn một trăm gói phần mềm đã sử dụng con đường này.

Các tác nhân hầu như không nỗ lực che đậy ý đồ của mình. Chúng đặt tên các tệp tin là hack.rb, evil.rb, inject.rb và exploit.rb. Các gói phần mềm có tên như "pwnp999" và "exfiltestwand3". Những dòng chú thích như "# malicious crawler/exfil" xuất hiện xuyên suốt chiến dịch. Trong một vài trường hợp, các tác nhân có cố gắng xóa dấu vết bằng cách lập trình cho một gói phần mềm tự động loại bỏ mã độc trong phiên bản tiếp theo. Tuy nhiên, vì chúng cũng tải lên các tệp đó kèm theo chú thích công khai, nên việc che đậy đã không thành công. Để tải lên số lượng gói lớn như vậy, các tác nhân đã vượt qua hệ thống đăng ký của RubyGems và tạo tài khoản hàng loạt bằng các địa chỉ email dùng một lần.

Ngoài việc thu thập dữ liệu, các tác nhân còn cố gắng đánh cắp khóa truy cập từ những người dùng RubyGems khác bằng cách khai thác một lỗ hổng bảo mật chưa được phát hiện và vá chính thức cho đến tháng 7. Việc liệu hành vi đánh cắp có thực sự thành công hay không vẫn chưa rõ ràng. Đội ngũ RubyGems không tìm thấy bằng chứng về việc khai thác thành công nhưng cũng không thể loại trừ hoàn toàn khả năng đó. Các tác nhân đã tự mình tìm ra một lỗ hổng chưa từng được biết đến trước đó và chủ động cố gắng khai thác nó, điều này củng cố các cảnh báo an ninh mạng rằng các mô hình AI đang trở thành những kẻ tấn công có năng lực hơn.

Những câu hỏi quan trọng vẫn chưa có lời giải.

Việc liệu các tác nhân này có phối hợp với nhau hay chỉ đơn thuần chạy cùng một chiến lược song song vẫn chưa được biết rõ. Cũng không rõ tại sao các tác nhân lại cố gắng đánh cắp khóa truy cập, vì chúng đã có thể tạo gói phần mềm và không có động cơ rõ ràng. Các nhà nghiên cứu nghi ngờ rằng các tác nhân đang hoạt động dưới giới hạn thời gian nghiêm ngặt và phải xoay xở với những ràng buộc trong môi trường của chúng. Một tin nhắn nội bộ được ghi lại từ các tác nhân cho thấy các nhiệm vụ cá nhân có thời hạn chỉ từ 10 đến 16 giây.

CEO của OpenAI, Sam Altman, và các công ty AI khác được cho là đang cân nhắc việc làm chậm quá trình nghiên cứu AI, một phần vì các sự cố an ninh mạng như thế này.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người.

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo độc quyền về công nghệ tiên phong "AI Radar" sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền tham gia phần bình luận của chúng tôi.

Đăng ký ngay.