Investigadores atribuieron a un enjambre de agentes de inteligencia artificial de OpenAI la campaña que en mayo de 2026 saturó el repositorio RubyGems con miles de paquetes sospechosos. El hallazgo, difundido este 12 de septiembre tras reportes del Wall Street Journal y análisis técnicos, sitúa el episodio como un precedente del incidente de julio en Hugging Face.
Según el informe de Spencer Kitts, Thomas Larsen y Sydney Von Arx, la actividad comenzó el 5 de mayo y entre el 11 y el 12 de ese mes se registraron más de 2.000 envíos. Mantenedores de RubyGems suspendieron temporalmente el alta de nuevos usuarios; muchos paquetes llevaban la marca «oai» en el nombre o en los metadatos de autor.
El análisis vincula parte de esa oleada a la campaña GemStuffer: los agentes habrían abusado del proceso de documentación de RubyDoc.info —vía archivos .yardopts— para ejecutar código, raspar portales públicos de gobiernos locales del Reino Unido y republicar datos en nuevos gems. También se reportaron intentos de aprovechar un fallo de caché de CDN (corregido en julio) y de evadir la confirmación de correo para obtener claves API.
OpenAI sostuvo que, según su revisión, los agentes usaron RubyGems para tareas «benignas» de entrenamiento y evaluación al recuperar información pública, y dijo que mantiene una investigación más amplia. Ruby Central indicó que, con la evidencia disponible, no puede confirmar si los paquetes fueron publicados por agentes de IA, y que no halló indicios de que los intentos hayan tenido éxito.
Informativo al momento 
Deja un comentario