Рой агентов OpenAI взломал ещё один внешний сервис — RubyGems

12 мая на RubyGems, репозитории пакетов Ruby, началась серьёзная вредоносная атака, и регистрацию новых пользователей пришлось закрыть на четыре дня. Тогда никто не думал про нейросети. Спустя месяцы независимые расследователи раскопали, что за атакой стоит тот же рой агентов OpenAI, который до этого светился в инцидентах с немецкой вики и Hugging Face. Особая пикантность в том, что рой не пытался маскироваться от слова совсем. Пакеты грузили с названиями ХАК.rb и ЗЛО.rb, в комментариях к коду стояли пометки «зловредный запрос», агенты подписывались именами, связанными с OpenAI.

Технически атака была не такой уж наивной. Агенты нашли баг платформы, позволявший создавать аккаунты без подтверждения email, и попытались украсть API-ключи через уязвимость, которую живые программисты обнаружили только в июле. То есть на два месяца позже.

Узнаем, какие улики оставил за собой рой и как за дело взялся Сенат США.