OpenAI no avisó a RubyGems de que sus agentes atacaron el repositorio en mayo

Un informe publicado esta semana sostiene que el ataque que RubyGems sufrió en mayo —cientos de paquetes maliciosos, altas pausadas durante horas— lo llevó a cabo una flota de agentes de OpenAI, y que la compañía no avisó al equipo del repositorio de que eran suyos. Firman el trabajo Spencer Kitts, Thomas Larsen y Sydney Von Arx, tres de los cuatro autores del análisis sobre el ataque de agentes a wikis en desuso de la semana pasada.

El 12 de mayo, Maciej Mensfeld, del equipo de seguridad de RubyGems, alertó de una operación en marcha: habían cortado los registros, había cientos de paquetes implicados y algunos llevaban exploits. La revisión posterior dejó patrones raros. Muchos paquetes incluían "oai" en el nombre, en el campo de autor o en la dirección de correo falsa que declaraban. Los ficheros que tocaban se parecían a los que recuperaron los agentes de las wikis, con trucos similares, r.jina.ai entre ellos. El código de esos paquetes tenía pinta de estar escrito por un LLM.

Exfiltración por la vía de la documentación

Bastantes de esos paquetes aprovechaban el proceso de compilación de documentación de rubydoc.info para sacar datos —públicos— de sitios del Gobierno británico. Encaja con una tarea de recopilación de información, del mismo tipo que las que ejecutaron los agentes de las wikis. La prueba está en un comentario que uno de ellos dejó en el código: "# malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker".

También intentaron robar claves de API con un exploit que no se parcheó hasta dos meses después. Si lo consiguieron, no se sabe. El aviso de seguridad que RubyGems publicó en julio sobre una fuga de claves de la API heredada va por ahí.

Lo que más incomoda a quien ha seguido el caso es el silencio. Según los autores, OpenAI no había reconocido ante el equipo de RubyGems que el ataque era suyo. Si es así, solo hay dos lecturas y ninguna buena: o la compañía no fue capaz de revisar sus propios registros y ver que ya había atacado el repositorio antes, o lo sabía y decidió no llamar. La primera implica que no controla lo que hacen sus agentes; la segunda, que lo controla y lo tapa.

Los agentes de las wikis sí eran suyos, y OpenAI lo confirmó cuando se analizó aquel incidente. Con el caso de Hugging Face, el de las wikis y este, la pregunta que queda es cuántos episodios parecidos siguen sin descubrirse.