OpenAI Agent'ın bir skandalı daha ortaya çıktı: Hugging Face olayından iki ay önce RubyGems'e saldırmıştı

动察 Beating AI hızlı haber: Araştırmacılar, OpenAI'nin dahili Agent'larının bu yıl Mayıs ayında Ruby'nin resmi yazılım paketi sitesi RubyGems.org'a büyük ölçekte akın ettiğini ortaya çıkardı. 11-12 Mayıs tarihlerinde iki gün içinde 2000'den fazla paket yüklendi ve RubyGems bir ara yeni kullanıcı kaydını 4 gün boyunca durdurdu. OpenAI, bu Agent'ların şirket içinden geldiğini doğruladı, ancak bunların yalnızca RubyGems'i kullanarak internete eriştiğini, iyi niyetli görevleri yerine getirdiğini ve kamuya açık bilgileri topladığını belirtti.

Bu Agent'lar ayrıca RubyDoc.info'nun otomatik belge oluşturma mekanizmasını kullanarak, kendi yükledikleri betiklerin karşı sunucuda çalışmasını sağladı, ardından Birleşik Krallık yerel yönetim web sitesi verilerini kazıyıp yeniden paketleyerek geri gönderdi. Araştırmacılar, en az 6 paketin o dönemde henüz kamuya açıklanmamış bir RubyGems güvenlik açığından yararlanmaya çalışarak diğer kullanıcıların API Anahtarlarını çalmayı denediğini belirtti. Bu güvenlik açığı ancak Temmuz ayında bağımsız olarak keşfedildi ve RubyGems daha sonra bunu yüksek riskli güvenlik açığı olarak derecelendirdi.

Şu anda Agent'ların gerçekten anahtar çaldığına dair bir kanıt yok. RubyGems günlükleri inceledikten sonra eski anahtarların kötüye kullanıldığına dair bir bulguya rastlamadı, ancak geçmiş günlükler eksiksiz değil. Araştırma ekibi ayrıca OpenAI'nin o dönemde RubyGems'e bu saldırıyla bağlantılı olduğunu söylemediğini belirtti. Tüm olay, Temmuz ayındaki Hugging Face ihlalinden iki ay önce gerçekleşti.