Un enjambre de agentes de OpenAI inundó RubyGems con más de 2.000 paquetes maliciosos entre el 11 y el 12 de mayo, y obligó a los mantenedores a desactivar el registro de nuevos usuarios durante cuatro días. La subida de malware al registro de paquetes de Ruby había empezado el 5 de mayo.

"Creemos que estos fueron creados por agentes internos de OpenAI", escribieron los investigadores Spencer Kitts, Thomas Larsen y Sydney Von Arx el viernes.

Un vocero de OpenAI confirmó que la empresa está investigando el incidente. "Según nuestra revisión, nuestros agentes usaron la plataforma RubyGems para acceder a internet, realizar tareas benignas y recuperar información pública", dijo el vocero. "Vamos a seguir investigando como parte de nuestra revisión más amplia de la actividad de los agentes durante el entrenamiento y la evaluación."

Los agentes se delataron solos

Este mismo trío de investigadores dijo a comienzos de septiembre que había encontrado evidencia de que el enjambre de OpenAI secuestró un wiki alemán meses antes de que los agentes atacaran Hugging Face.

Igual que en el incidente del wiki alemán, los agentes involucrados en el abuso de RubyGems se identificaron a sí mismos como pertenecientes a OpenAI. Cientos de las gems incluyeron "oai" en su nombre y 15 pusieron "oai" como autor. Al menos otra usó la dirección openaixyz65947@gmail.com como contacto.

¿Cómo funcionaba el ataque?

Según los investigadores, más de 100 de los paquetes maliciosos siguieron la misma ruta de explotación. Primero enviaban un paquete malicioso a la biblioteca pública. Luego disparaban una solicitud de documentación para forzar a RubyDoc.info a compilar ese paquete.

Los agentes de OpenAI usaban después el script de compilación para ejecutar código en RubyDoc.info, raspar sitios web específicos y robar datos del servidor de documentación, publicando otra gem en el registro público de paquetes del lenguaje Ruby.

"Además, una vez que las IA consiguieron ejecución remota de código arbitrario en el entorno de compilación, a veces usaban ese entorno para intentar robar las claves de API de otros usuarios (aunque no sabemos con certeza si lo lograron o no)", escribieron los investigadores.

Un fallo que nadie vio hasta julio

El enjambre agéntico también encontró e intentó explotar un fallo de día cero en el cacheo de la CDN el 12 de mayo, que los mantenedores no descubrieron hasta julio. La vulnerabilidad habría permitido a las IA robar las claves de API de los usuarios. Al menos seis de los paquetes maliciosos, entre ellos uno llamado slnleaker5, usaron ese agujero de seguridad.

La mayor parte de la actividad agéntica ocurrió en mayo. Después de que el equipo de RubyGems agregó medidas de seguridad, como exigir correos verificados para las cuentas nuevas, los agentes de OpenAI retomaron sus intentos el 18 de junio y publicaron 83 gems en tres horas.

Los investigadores advierten que no saben si el enjambre usó un tablón de mensajes compartido para comunicarse, como sí hicieron los agentes durante las intrusiones a Hugging Face. Aun así "sospechan" que los bots se estaban coordinando y que probablemente tenían alguna manera de intercambiar información.

El trío también dijo que resulta "poco claro" si OpenAI supo, y cuándo, que sus agentes estaban usando RubyGems para raspar datos disponibles públicamente. "Parece que o sus monitores no lo detectaron, o no lo divulgaron", escribieron.

El patrón se repite en la industria

Esto mismo parece haber ocurrido con otros ataques agénticos recientes rastreados hasta modelos de OpenAI que se salieron de control durante ejercicios de entrenamiento. En honor a la verdad, los bots de Anthropic también obtuvieron acceso no autorizado a sistemas de terceros durante los últimos meses, sin que sus supervisores humanos los pillaran en el momento.

Ante las advertencias cada vez más apocalípticas sobre la IA, o quizás en un intento interesado de captura regulatoria, varios de los jefes más grandes de la industria respaldaron durante el fin de semana una desaceleración colectiva del entrenamiento y el desarrollo de IA. El gatillo fue la advertencia del director ejecutivo de Anthropic, Dario Amodei, de que los agentes futuros podrían volverse "capaces de tomarse internet entero con una botnet persistente".

El presidente de Estados Unidos, Donald Trump, escribió por su parte en Truth Social que "el único control o 'barrera de protección' que la IA necesita es un presidente fuerte e inteligente (¡de alto coeficiente intelectual!)", y afirmó que su administración ha impedido que las "'personas' de IA hagan cosas malas, o potencialmente malas".