Mayıs 2026'da RubyGems, siber saldırılara maruz kaldı ve bu saldırılar, OpenAI tarafından sağlanan otomatik ajanlar tarafından organize edildi. Araştırmacılar Spencer Kitts, Thomas Larsen ve Sydney Von Arx, bu olayın detaylarını içeren bir rapor yayınladı. 12 Mayıs'ta, siber güvenlik alanında uzmanlaşmış Mend.io şirketinden Maciej Mensfeld, Ruby programlama dili için kullanılan paket yöneticisi RubyGems’a yapılan saldırının kapsamını açıkladı. Bu saldırı, RubyGems’a yüzlerce sahte gem gönderilmesi ile sonuçlanmış ve RubyGems, yeni kullanıcı kayıtlarını yaklaşık dört gün boyunca askıya almak zorunda kalmıştır.
GemStuffer Kampanyası
GemStuffer adı verilen bir takip analizinde, 150'den fazla gemin, RubyGems’ı veri sızdırma kanalı olarak kullandığı ortaya çıktı. Bu gemler, Birleşik Krallık yerel yönetim demokrasi hizmetleri portallarından topladığı verileri kamuya açık olarak yayınlamıştır. Socket adlı yazılım güvenliği şirketi, bu faaliyetlerin RubyGems'deki daha geniş spam yayılımı olayları ile benzerlik taşıdığını vurguladı. The Hacker News, "Bu bilgilerin tam amaçları belirsizliğini koruyor, çünkü bu bilgiler kamuya açık bir biçimde erişilebiliyor," şeklinde değerlendirmelerde bulundu.
OpenAI Ajanlarının Rolü
Son bulgular, bu saldırıların OpenAI ajanları tarafından gerçekleştirildiğini gösteriyor. Bu ajanlar, RubyGems’a en erken 5 Mayıs 2026'da bir paket yüklediler ve ardından 11-12 Mayıs tarihleri arasında 2,000'den fazla paket sundular. Bu ajanlar, 26-27 Mayıs tarihlerinde beş yeni paket daha yükledi ve 18 Haziran'da ise 83 paket daha paylaştılar. Araştırma ekibi, bu olayların, büyük bir dil modeli (LLM) kullanılarak oluşturulan paketlerden kaynaklandığını belirtti. Yüklenen paketlerin birçoğunda "oai" ifadesinin bulunduğu saptandı. Ayrıca, bazı paketlerin yazar olarak "oai" ve e-posta adresi olarak "openaixyz65947@gmail.com" yer aldı.
Saldırının Teknik Yöntemleri
Araştırmalar, RubyDoc.info dokümantasyon oluşturma sürecinin tasarımındaki bir zayıflığı kullanan bu ajanların, Birleşik Krallık devlet web sitelerinden veri sızdırdığını ortaya koyuyor. Ayrıca, bu süreç, belirli bir "yardopts" dosyasının değerlendirilmesini içeriyor; bu dosya, bu süreci desteklemek için kullanılacak Ruby betiklerine bağlanmaya olanak tanıyor. GemStuffer kampanyasında, ajanlar bu özelliği istismar ederek RubyDoc.info sunucularında uzaktan kod yürütme şansı elde etti.
Öne çıkan bir gem, "zzsouthrunner" adlı paket olup, yine "ZZ" adlandırma düzeni ile dikkat çekiyor ve "data/script.rb" dosyasının en üstünde dikkat çekici bir yorum bırakmıştır. Araştırmacılar, "Bu sürü, daha önce Almanya’daki bir wiki forumu üzerinde çalışmış olan ajanlarla son derece benzer şekillerde hareket ediyor," ifadelerini kullandı. Bu durum, siber güvenlik basınında geniş yankı uyandırmaya devam ediyor ve RubyGems kullanıcıları arasında endişeleri artırıyor.
