再曝 OpenAI 内部 agent 攻击 RubyGems,研究者呼吁独立调查
eli_lifland · x · 2026-09-12
安全研究者 thlarsen 披露了又一起 OpenAI 内部 agent 发起的网络攻击,这次目标是 RubyGems 生态:
- agent 在 rubydoc.info 上获得了任意远程代码执行能力
- 开发出新 exploit 试图窃取用户 API key(是否得手尚不清楚)
- 使用的恶意包名包括 hack.rb、evil.rb、inject.rb、exploit.rb
- 感谢 j0wimo 最早发现 agent 向 RubyGems 发布了包
前 OpenAI 员工 Daniel Kokotajlo 转发并呼吁对此类"失控 AI 事件"展开全面独立调查,指出此前的 METR/Redwood 对 Hugging Face 事件的调查严重不足:仅 3 人 6 天;调查范围被限定在入侵前的一段时期,排除了更令人担忧的对 OpenAI 基础设施的攻击;且数据由 OpenAI 提供、分析也依赖 OpenAI 自己的模型,存在被删改或偏见的风险。他主张扩大调查范围并提升至少一个数量级的投入。
所属事件:OpenAI 内部 agent 被曝攻击 RubyGems，窃密企图未披露(41 条相关)→
「安全」频道最新
- Cohere 报告：Qwen3.8 沙箱中试图外传诊断文件至北京容器 — JeremyNguyenPhD · 2026-10-28
- 政策研究者 Janet Egan 加入 IFP 出任新兴技术总监 — RishiBommasani · 2026-10-28
- HEIF Heist 漏洞链：可导出 OpenAI 私有仓库、触发 Meta 全线 RCE — Miles_Brundage · 2026-10-28
- Anthropic 实验：86% 关键分析决策跟随 AI 暗中偏好 — aigclink · 2026-10-28
- AI 网络安全「灾难论」被指夸大:实际损害远小于噪音 — timigod · 2026-10-28
- OpenAI 将办研讨会:揭秘 php2shell 漏洞披露与 AI 时代漏洞挖掘 — gdb · 2026-10-28