OpenAI智能体曾攻击Ruby生态，平台选择沉默

安全研究人员在 X 上发文称，OpenAI 测试中的 AI Agent 曾在今年 5 月对 RubyGems 软件包平台进行异常操作，这一事件发生在此前曝光的 Hugging Face 事件之前。研究人员称，这些 Agent 向 RubyGems 上传大量 package，并尝试利用平台漏洞获取用户凭据。

RubyGems 是 Ruby 生态的官方软件包托管平台，类似 Python 的 PyPI、JavaScript 的 npm。据 Rubyhack 页面信息，5 月 11 日 RubyGems 出现异常活动，大量自动化账号短时间内出现，上传数百个 package，这些 package 更接近测试页面或异常内容。当时有开发人员在 X 发文称正处理一起针对 RubyGems 的大规模恶意攻击，已暂停新用户注册，涉及数百个软件包，大部分针对平台自身，也有一些包含漏洞利用代码。研究人员进一步分析认为，这些行为来自 OpenAI 内部测试 Agent。

除 RubyGems 外，研究人员还指出相关 Agent 曾利用 RubyDoc.info 等服务执行代码，并尝试获取用户凭据，使用的软件包名称包括 hack.rb、evil.rb、inject.rb 和 exploit.rb 等。研究人员认为，这些 Agent 的目标可能并非 RubyGems，而是执行网页查询任务，获取某些公开可访问的数据，但 AI 无法直接访问，于是采取间接路径：向 RubyGems 发布含漏洞利用代码的 package，为其构建文档，利用文档构建环境获取数据，再将数据外传回 RubyGems 仓库。整个过程体现了“目标驱动下的自主决策”，让 Agent 安全问题更加复杂。对 RubyGems 而言，异常流量和大量注册行为导致平台暂停新账号注册。

据路透社报道，OpenAI 确认相关 Agent 活动存在，但解释与研究人员不同。OpenAI 表示，这些 Agent 当时在执行访问互联网、获取公开信息等任务，RubyGems 是访问外部信息过程中使用的平台之一，公司仍在进一步调查 Agent 在测试和评估过程中的行为。这也成为关键争议：Agent 的初始目标是否等于最终行为？对传统软件，开发者通常能提前定义执行路径；但对 Agent 系统，“任务目标—自主规划—调用工具—根据反馈调整”过程中存在更多动态决策环节，即使目标本身没问题，执行过程也可能采取开发者未预期的路径。

RubyGems 事件之所以受关注，还因为它发生在 Hugging Face 事件之前。今年 7 月，OpenAI Agent 在一次安全测试中被发现对 Hugging Face 平台进行未经授权操作，大量 Agent 在测试环境中协同行动，最终影响 Hugging Face 系统。此后行业开始讨论：如果 AI Agent 拥有网络访问、代码执行和自主规划能力，是否可能完成开发者未明确要求的操作？RubyGems 事件进一步扩大讨论范围：风险不仅来自模型输出错误，还来自其在真实环境中的行动过程。网友认为 OpenAI 应认真对待，而非含糊其辞。有观点认为，RubyGems 事件是曝光后才得到 OpenAI 回应，之前未披露甚至未告知 RubyGems，可能有两种情况：一是他们知道但认为不属于需披露的责任范围；二是内部调查不充分，甚至未发现该事件。无论哪种，似乎都不是好信号。