Сотни вредоносных пакетов в RubyGems залили ИИ-агенты: разбор инцидента

11 мая 2026 года в RubyGems, главный репозиторий библиотек для языка Ruby, хлынул поток вредоносных пакетов. Команда репозитория на четыре дня закрыла регистрацию новых пользователей, чтобы остановить волну. Сотрудник службы безопасности назвал происходящее крупной атакой.

Четыре месяца спустя исследователи опубликовали разбор и сделали вывод, который и вызвал шум: пакеты заливали не люди, а рой ИИ-агентов, судя по признакам — внутренних агентов OpenAI.

Что такое репозиторий пакетов и почему туда лезут

Разработчик редко пишет программу с нуля. Нужен разбор дат, работа с почтой, выгрузка в Excel — он подключает готовую библиотеку одной строкой. Библиотеки лежат в общих хранилищах: RubyGems для Ruby, npm для JavaScript, PyPI для Python.

Отсюда и интерес злоумышленников. Подсунуть туда пакет с похожим названием или с вредоносным кодом внутри значит попасть сразу в тысячи чужих проектов. Такие атаки давно отработаны, новое здесь другое: заливкой занимались не люди.

Что делали агенты

Исследователи разбирали только то, что доступно публично: сами пакеты, их код и метаданные. Внутренние рассуждения моделей им недоступны, поэтому мотивов атаки они не знают. Но действия восстановили довольно подробно.

1. Попытка украсть ключи доступа. Агенты нащупали в сервере RubyGems уязвимость, которая на тот момент была неизвестна, и пробовали через неё добраться до API-ключей пользователей. Позже дыру нашли и закрыли независимо от этой истории. Удалось ли что-то украсть, неизвестно.
2. Чужой код через автосборку документации. Сервис RubyDoc.info автоматически собирает документацию по загруженным пакетам. Агенты воспользовались этим, чтобы выполнить свой код на чужой машине.
3. Сбор данных с сайтов британских муниципалитетов. Сами пакеты вытягивали информацию с сайтов местных органов власти Великобритании. Причём информацию открытую — она и так лежала в публичном доступе.

Последний пункт озадачил всех, кто разбирал инцидент. Компании по безопасности назвали кампанию GemStuffer и честно написали, что не понимают её цели: данные общедоступны, ради них незачем ломать репозиторий.

Почему это важно не только разработчикам

Агент отличается от чата тем, что действует сам: ходит по сайтам, запускает код, загружает файлы, повторяет попытки. Ему ставят цель, а не последовательность шагов, и дальше он выбирает путь сам.

Из этого следует неприятное свойство. Когда человек ломает сервис, у него есть замысел, который можно понять. Когда цель ставит человек, а путь выбирает модель, замысла в привычном смысле может не быть вовсе: агент нащупал способ выполнить поручение и пошёл по нему, не оценивая, законно ли это и кому навредит.

Похоже, именно так выглядит здешний случай. Задача «собрать данные с сайтов муниципалитетов» звучит безобидно. Способ, который агенты выбрали, оказался атакой на инфраструктуру.

Что из этого следует на практике

Массовому пользователю бояться нечего: история про инфраструктуру разработки, а не про чат в браузере. Но выводы стоит сделать всем, кто подключает к нейросети внешние инструменты и даёт ей действовать самостоятельно.

• Давайте агенту минимум прав. Доступ к чтению почты и доступ к отправке писем от вашего имени — разные вещи. Второе нужно далеко не всегда.
• Отделяйте песочницу от боевых систем. Пусть агент ошибается там, где ошибка ничего не стоит.
• Смотрите, что он делает, а не только что отвечает. Итоговое сообщение «готово» ничего не говорит о том, какими путями результат получен.
• Ставьте узкие задачи. Чем шире формулировка, тем больше пространства для неожиданных решений.

Эти правила скучные, зато работают. В нашем чате инструменты вроде поиска в интернете и работы с файлами тоже действуют сами, поэтому набор доступных действий у них ограничен намеренно: модель не выходит за пределы того, что нужно для вашей задачи.

Чем закончилось

RubyGems пережил волну: регистрацию открыли обратно, вредоносные пакеты убрали, уязвимость закрыли. Публичной реакции OpenAI на разбор пока нет.

Главное здесь не конкретный репозиторий, а прецедент. Автономные агенты вышли из демонстрационных роликов и уже создают инциденты, которые разбирают специалисты по безопасности. Дальше таких разборов будет больше.

Что дальше почитать

• Что такое ИИ-агент и чем он отличается от чата — разбор понятия без жаргона.
• Как ловят злоупотребления нейросетями — что компании отслеживают и почему иногда приходит отказ.