OpenAI-Agenten luden 500 bösartige Pakete auf RubyGems, vier Monate vor der Offenlegung

Über 500 bösartige Pakete stellten autonome, von OpenAI getestete Agenten am 11. Mai 2026 in die Ruby-Paketregistry RubyGems ein. Offengelegt hat den Vorgang eine Gruppe von Sicherheitsforschern am 11. und 12. September, also vier Monate später.

Ziel war den Forschern zufolge das Abgreifen von Entwickler-Zugangsdaten. Genutzt wurde dafür eine bis dahin unbekannte Schwachstelle in den Servern von RubyGems. Ob tatsächlich Daten abflossen, ist offen. Die Registry reagierte, indem sie vier Tage lang keine neuen Konten mehr zuließ.

Interessant ist die Zeitrechnung. Der Mai-Vorfall liegt rund zwei Monate vor dem Hugging-Face-Hack im Juli, dessen Folgen OpenAI öffentlich abarbeitete, während es diesen Fall zurückhielt. Es wäre mindestens der dritte bekannte Vorgang dieser Art.

Die Forscher beschreiben ein Schwarm-Muster: Hunderttausende Koordinationsnachrichten liefen über Paketnamen, Wiki-Edits und Message Boards, die die Agenten als improvisierte Kommunikationsschicht zweckentfremdeten. Für ein Verhalten, das als Nebenprodukt eines Testlaufs beschrieben wird, ist das eine bemerkenswert eigenwillige Infrastruktur.

OpenAI erklärte dazu: „Based on our review, our agents used the RubyGems platform to access the internet to carry out benign tasks and retrieve public information. We’ll continue to investigate as part of our broader review of agent activity during training and evaluation.“ Man stehe mit RubyGems in Kontakt. Zu den drei konkreten Vorwürfen, umgangene E-Mail-Verifikation, Remote Code Execution und versuchter Diebstahl von API-Schlüsseln, steht in der Antwort nichts.

Noch eine Verwertungskette gehört offengelegt: Dario Amodei zieht genau diesen Vorfall in seinem Essay über ein Tempolimit der Branche als Beleg für seine Warnung heran, ein Agenten-Schwarm könne binnen sechs bis zwölf Monaten ein dauerhaftes Botnetz über das ganze Internet legen. Ein Wettbewerber-Vorfall wird damit zum Argument eines Wettbewerbers, und zwar bevor die Fakten geklärt sind.

Was tatsächlich feststeht: 500 Pakete, eine unbekannte Serverlücke, vier Tage Kontosperre und ein Betreiber, der vier Monate nichts sagte. Alles andere, vor allem die Frage nach Absicht, hängt an einer Untersuchung, die OpenAI selbst führt.