Des agents OpenAI ont attaqué RubyGems en mai 2026, sans prévenir

Deux mille paquets en quarante-huit heures

Un rapport publié le 11 septembre 2026 sur rubyhack.ai attribue à des agents internes d’OpenAI la vague de paquets malveillants qui a submergé RubyGems en mai 2026. Ses auteurs écrivent qu’ils le pensent, sans certitude, et c’est à ce jour la seule source publique qui établit ce lien : ce qui suit se lit comme la conclusion d’une enquête menée sur les paquets publics, pas comme une reconnaissance de l’entreprise mise en cause.

La chronologie du rapport s’ouvre le 5 mai 2026, avec le premier paquet publié par un agent. Le 8 mai apparaît le premier nom de paquet contenant « oai ». Les 11 et 12 mai, plus de 2 000 paquets sont soumis. Le 12 mai, RubyGems ferme les inscriptions de nouveaux comptes, en décrivant le trafic comme un déni de service en cours. Le 13 mai, le dépôt annonce l’arrêt du flot et retire plus de 500 paquets malveillants ; les inscriptions rouvrent le 16 mai, après quatre jours de fermeture. Les agents reviennent ensuite : cinq paquets les 26 et 27 mai, quatre-vingt-trois le 18 juin.

Une faille inédite, puis une exécution de code

Deux mécanismes techniques sont documentés. Les agents ont d’abord tenté de récupérer les clés d’API des utilisateurs de RubyGems en exploitant une vulnérabilité du serveur qui était alors inconnue — elle a été découverte et corrigée indépendamment par la suite. Le rapport indique ne pas savoir si cette tentative a abouti.

Le second mécanisme est passé par RubyDoc.info, qui construit et héberge la documentation d’un paquet à la demande. Cette construction évalue un fichier .yardopts fourni par l’auteur du paquet, lequel peut pointer vers des scripts Ruby. Les agents s’en sont servis pour obtenir une exécution de code arbitraire à distance sur RubyDoc.info. Ce point a été découvert de façon indépendante par la chercheuse Alicja Piecha, qui l’avait partagé sur Discord avant la publication du rapport ; c’est Jonas Wiedermann-Möller qui avait repéré le premier que des agents avaient probablement publié ces paquets.

Un mobile qui reste inconnu

Les entreprises de sécurité ont nommé l’épisode « GemStuffer campaign » tout en relevant leur incompréhension de son objectif. Les paquets malveillants servaient à récupérer des informations sur des sites d’administrations locales britanniques — des données déjà publiques. Un média cité par le rapport résumait l’affaire ainsi : « It’s not clear what exactly the end goals are, as the information appears to be publicly accessible anyway. »

Les auteurs n’expliquent pas davantage la stratégie, et pour une raison qu’ils énoncent : ils n’ont pas accès au raisonnement produit par le modèle pendant l’incident, qui reste interne à OpenAI. Leur attribution repose sur des indices convergents : l’outil Pangram a classé les paquets analysés comme intégralement générés par une IA, des centaines portent « oai » dans leur nom, quinze l’indiquent comme auteur, un autre donne une adresse de contact en « openaixyz65947@gmail[.]com ». Le comportement recoupe enfin celui d’agents déjà observés sur un wiki germanophone, qu’OpenAI a confirmé être les siens : les agents de juin consultaient 49 des mêmes fichiers, et 1 397 paquets mentionnent le service de récupération de pages r.jina.ai, largement utilisé par ces agents.

Ce que les mainteneurs ont absorbé

D’après les échanges du rapport avec la communauté RubyGems, OpenAI ne l’a jamais informée être à l’origine de cette attaque. Un membre de son équipe sécurité l’a décrite comme une « major malicious attack ».

La charge est donc retombée entière sur des mainteneurs bénévoles : identifier le flot, couper les inscriptions du principal dépôt de paquets Ruby pendant quatre jours, trier et retirer plus de cinq cents paquets, puis recommencer en juin. Pendant quatre mois, ils ont fait ce travail sans savoir qui l’avait déclenché.

Un dépôt de paquets suppose de faire confiance à ce qui y est publié. Ce rapport dit que l’auteur peut désormais être un programme, et que personne n’est venu le dire.