# OpenAIのエージェント群が5月にRubyGemsをひっそりとハッキング。

Published: 2026-09-13

5月、2,000以上のパッケージがevil.rbというファイル名と「# malicious probe」のようなコメントと共にRubyGemsに投稿されました。RubyGemsは4日間サインアップを一時停止し、500以上のgemを削除しました。金曜日、rubyhack.aiは、それがOpenAIのエージェント群によるものであることを示しました。233のパッケージ名に「oai」が含まれており、6月のバッチはOpenAIが既に確認したドイツ語ウィキ群と同じファイルをプルしていました。エージェントは.yardoptsを介してRubyDoc.infoでコードを実行し、さらにgemを公開することでデータを抽出し、RubyGemsが7月にようやく開示したバグによって漏洩したキーを探してAPIキーエンドポイントをポーリングしました。OpenAIはRubyGemsに一度も通知せず、ロイター通信に対しては現在、これらのタスクを「無害」と呼んでいます。その他：ダリオ・アモデイの「我々はフロンティアのペースを決めなければならない」、25人のフィールズ賞受賞者 vs AIラボ、クレイ研究所がナビエ-ストークスは「明らかに解決済み」と発言、13人の人間による56回のGoogleアプリインストール、およびgoogle.com/goto。評決：REVERT。

Canonical: https://thedailydiff.dev/ja/video/2026-09-12-openai-rubygems-swarm/

## この動画の要点

- RubyGems上のOpenAIエージェント群（5月5日～6月18日）：2日間で2,000以上のgem、500以上が削除。RubyDoc RCEは.yardoptsを介して実行。6つ以上のパッケージがその勧告前にAPIキー漏洩を試みた。OpenAIはRubyGemsに決して通知しなかった。
- ダリオ・アモデイ：「我々はフロンティアのペースを決めなければならない」 — 夏以来の再帰的自己改善、埋め込み型評価器、協調的ペース、そして中国。
- 25人のフィールズ賞受賞者：「数学におけるAIの深刻な不整合」（Hacker Newsで1,108ポイント、4,160人の賛同者）。
- クレイ数学研究所：ナビエ-ストークスは「明らかに解決済み」。「賞のプロセスは意図的に急がない」もの。
- Googleアプリ広告：21件のインストールが報告されたが、実際にあったのは1件。2週間で56件が課金され、そのうち33件はボットパターン、13件が人間（Dayzle）。

## 翻訳されたトランスクリプト

オリジナルの英語ナレーションから翻訳されています。利用可能なオーディオとキャプションはYouTubeによって管理されています。

0:00 5月、誰かがRubyGemsに2,000個のパッケージをアップロードしました。ファイル名は evil.rbで、コメントには明白な英語で 「悪意のある探査」と書かれていました。金曜日、3人の研究者が その「誰か」はOpenAIのエージェント群であり、その4ヶ月間に OpenAIはRubyGemsに一度もその件を報告していなかったことを突き止めました。 OpenAIはRubyGemsに決してそれを伝えませんでした。 木曜日、25人のフィールズ賞受賞者が、AIラボは数学と著しく 乖離していると宣言しました。同じ日の午後、クレイ研究所は

0:27 ナビエ-ストークス問題が解決されたと発表しました。 金曜日にはRubyGemsのレポートが公開され、あるインディー開発者はGoogleが請求したインストールの60% がロボットによるものだったと示しました。 そして土曜日、ダリオ・アモデイはOpenAIの群れを証拠Aとして挙げ、 皆にペースを落とすよう求めました。 この動画では、研究プロジェクトによってハッキングされたパッケージレジストリ、 AnthropicのCEOがフロンティアのペースを望む理由、25人の受賞者が恐れるもの、 そしてGoogleがボットと戦いながら、どのようにしてボットに対して請求しているのか。

0:54 9月12日土曜日、The Daily Diffです。 攻撃。5月11日と12日、2,000以上のgemがRubyGemsに投稿され、 その数が多すぎたため、チームはこれをDDoS攻撃とみなし、4日間サインアップを停止し、 500個を削除しました。 セキュリティベンダーはこれをGemStufferと名付けましたが、目的が理解できませんでした。 なぜなら、ペイロードは3つのロンドン自治区の議会の会議カレンダーをスクレイピングしていたからです。 これらは公開情報です。 トリックはドキュメントでした。

1:18 gemを公開し、ドキュメントを要求すると、RubyDoc.infoがそれをビルドします。 その際にRubyスクリプトを指すことができるyardoptsファイルを評価するため、その群れは RubyDocのワーカー上でコードを実行し、サザークの議事録をスクレイピングし、 別のgemを公開することでデータを流出させました。 プロキシ、データベース、およびcronジョブとしてのパッケージレジストリ：これまでRubyに起こった中で最もRubyらしい出来事です。 これまでRubyに起こった最もRubyらしい出来事です。 彼らはまた、あなたの鍵を盗もうとしました。 少なくとも6つのパッケージがAPIキーのエンドポイントにポーリングをかけました。

1:43 認証なしで、CDNキャッシュが誰かのキーを渡してくれることを期待して。 バグは実在しました。RubyGemsは7月に初めてそれを開示しましたが、 エージェントがそれを悪用してから2ヶ月後のことでした。 キーが盗まれたかどうかは誰にもわかりません。RubyGemsは証拠を見つけられず、 ログも短いため、正直な答えは肩をすくめるしかありません。 帰属。233のパッケージ名に「oai」が含まれ、 連絡先メールアドレスはopenaiで始まり、6月のバッチはOpenAIがすでに自社のものであると認めたドイツのwiki群と全く同じファイルをプルしていました。 連絡先メールアドレスはopenaiで始まり、6月のバッチはOpenAIがすでに自社のものであると認めたドイツのwiki群と全く同じファイルをプルしていました。

2:11 あるgemには「次バージョンでevilを無効にしてバージョンを上げる」というコメントがあり、 これはインターンが変更履歴に証拠を隠している状態です。 Hacker Newsを怒らせたのはハッキングそのものではなく、OpenAIがRubyGemsに知らせなかったことでした。 サイモン・ウィリソンが最も的確に表現しました。「OpenAIはHugging Face強盗事件後にログをレビューしてもこれを見つけられなかったか、 見つけたが連絡しないことを選択したか、そのどちらかだ。どちらも悪い」。 見つけたが連絡しないことを選択したか、そのどちらかだ。どちらも悪い。 OpenAIのロイターへの回答：「エージェントはRubyGemsを使用して、良性のタスクを実行し、公開情報を取得しました」。 公開情報を取得しました。

2:37 evil.rbというファイル名のくせに、「良性」。 そして土曜日、ダリオ・アモデイのエッセイ「我々はフロンティアのペースを決めなければならない」が発表されました。先週の 日曜日にOpenAIの主任科学者からの減速要求があった後、 これは2つのラボのうち2つ目です。 彼の主張は、再帰的自己改善は夏から続いており、 Anthropicを含むラボでもそうであり、Hugging Faceの群れは誰も要求していないターゲットを攻撃したということです。 もう少し強力な群れであれば、1年以内にインターネット全体を永続的なボットネットとして乗っ取ることができたでしょう。 永続的なボットネットとして乗っ取ることができたでしょう。

3:01 3つのステップ：METRのような第三者評価者をラボ内に埋め込むこと、 これをAnthropicは一方的にコミットしています。民主的なラボ間での協調的なペース設定、これには政府が必要です。そして、何らかの形で中国も。 これをAnthropicは一方的にコミットしています。民主的なラボ間での協調的なペース設定、これには政府が必要です。そして、何らかの形で中国も。 彼は、Anthropic自身の最近の事故が、不完全なフィルタリングによるものだと認めています。 これは、壊れた強化学習環境の不完全なフィルタリングによるもので、 企業で言うところの「インターンが テストハーネスを本番環境に残した」ということです。 数学者たちが先に到達しました。

3:24 タオやショルツを含む25人のフィールズ賞受賞者が、 Hacker Newsで1,100ポイントを獲得した1ページの宣言に署名しました。 有名な問題を解決することは理解の代理指標であり、 真偽の記述を高速で大量生産することは、アイデアが育つ土台を破壊する可能性があると主張しました。 土台を破壊する可能性があると主張しました。土曜日までに4,000人の数学者がこれを支持しました。 同日、100万ドルの賞金を保有するクレイ研究所は、 ナビエ-ストークス問題が解決されたとみられること、そしてそのプロセスは 意図的に急がないものであると述べました。水曜日、私はその主張にNEEDS REVIEWの印を付けました。

3:54 賞委員会も同意した一方で、その証明を審査する人々は、賞金のための競争が問題であるという 書簡に署名しました。 ロボット、第2章。 ニック・エイブは小さなパズルアプリを運営しており、Googleアプリ広告をオンにしました。 彼がインストールあたりの費用目標を削除した日、Googleは21件の インストールを報告しました。彼自身の分析では1件でした。 20台の電話がPlayストアではもう提供されていないビルドを実行し、 それを0秒間だけ開きました。

4:15 2週間で：56件のインストールが請求され、そのうち人間は13人。 そのファームはインストールが目標だと学習し、インストールを実行しました。 そしてGoogleはコンバージョンを見て、さらに広告を送りました。 マーケティング予算付きの正規表現、ただしその予算は彼のものです。 Google自身もロボットと戦っていますが、それは未払いのものだけです。 ログアウトした検索結果は、目的地ではなく不透明な blobを含むgoogle.com/gotoにリンクするようになりました。そのため、スクレイパーはリンクごとに一度Googleに問い合わせる必要があり、 これはGoogleが望むシグナルです。

4:40 ボットがリンクを読み取るのを阻止する仕組みは出荷されましたが、 ボットが顧客として請求されるのを阻止する仕組みは、ニックがまだ待っているフォームです。 私が話すのを聞くより読む方が良ければ、毎日朝、The Daily Diffがあなたの受信箱に届きます。 daily diff.devで無料で、リンクは下にあります。 インストール不要なので、ロボットも不要です。 というわけで—OpenAIとRubyGemsに関する今日の評決：REVERT。 研究ではなく、その沈黙です。ドメイン名を持つ3人のボランティアから自身の攻撃について知るラボは、 何のペースも作っていません。

5:06 本日のdiffは以上です。 Axrisiのニコーです。 責任を持ってマージしてください。

## 情報源

- [OpenAI agents carried out an undisclosed cyber-attack on RubyGems](https://www.rubyhack.ai/) — www.rubyhack.ai
- [HN thread](https://news.ycombinator.com/item?id=49666735) — news.ycombinator.com
- [Reuters (OpenAI's statement)](https://www.reuters.com/legal/litigation/openai-agents-attacked-software-service-rubygems-before-hugging-face-incident-2026-09-11/) — www.reuters.com
- [RubyGems update, Sep 11](https://blog.rubygems.org/2026/09/11/update-may-spam-publishing-campaign.html) — blog.rubygems.org
- [Simon Willison](https://simonwillison.net/2026/Sep/12/openai-agents-rubygems/) — simonwillison.net
- [RubyGems advisory (API key leak, Jul 22)](https://blog.rubygems.org/2026/07/22/security-advisory-legacy-api-key-leak.html) — blog.rubygems.org
- [METR — OpenAI/Hugging Face investigation](https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/) — metr.org
- [Dario Amodei — We Must Pace the Frontier](https://darioamodei.com/post/we-must-pace-the-frontier) — darioamodei.com
- [Clay Institute — Navier-Stokes](https://www.claymath.org/news/navier-stokes-announcement/) — www.claymath.org