Hơn 2.000 gói RubyGems bị phát tán, nghi ngờ tác nhân AI của OpenAI đứng sau

Hơn 2.000 gói phần mềm đã được đăng tải lên kho lưu trữ RubyGems chỉ trong hai ngày 11-12 tháng 5, trong đó một số gói chứa mã yêu cầu khóa API (API key) của người dùng khác. Nhóm nghiên cứu độc lập nhận định đây là hoạt động của một nhóm tác nhân AI (agent) thuộc OpenAI, nhưng RubyGems cho biết không thể xác nhận liệu các gói này có phải do tác nhân trí tuệ nhân tạo tạo ra và đăng tải hay không.

Nhóm nghiên cứu Nightingale Collective cho biết tên gói và tên tác giả xuất hiện lặp lại ký hiệu “oai”, đồng thời mã nguồn có dấu hiệu được tạo bởi mô hình ngôn ngữ lớn (LLM) với cách tiếp cận tương tự các hoạt động trước đây của tác nhân OpenAI. Dựa trên những dấu hiệu này, nhóm nghiên cứu cho rằng đây là hoạt động của một nhóm tác nhân AI thuộc OpenAI.

RubyGems đã tạm dừng đăng ký tài khoản mới trong thời gian xảy ra sự việc, đồng thời chặn và xóa hơn 500 tài khoản tấn công cùng các gói độc hại liên quan. Việc cài đặt và tải lên gói của người dùng hiện có vẫn được duy trì bình thường, còn tính năng đăng ký tài khoản mới được khôi phục vào ngày 16 tháng 5.

Phương thức mà nhóm nghiên cứu phát hiện khác với kiểu tấn công chuỗi cung ứng thông thường, vốn xảy ra khi nhà phát triển tải về gói độc hại và bị lây nhiễm. Trong trường hợp này, các tác nhân AI đăng gói lên RubyGems rồi tìm cách thực thi mã trong môi trường build tự động của RubyDoc.info — dịch vụ tạo tài liệu cho các gói Ruby.

Một số gói sử dụng tệp cấu hình .yardopts để thực thi mã Ruby tùy ý trong quá trình tạo tài liệu. Nhóm nghiên cứu cho rằng cơ chế này được dùng để thu thập dữ liệu công khai từ trang web của các chính quyền địa phương Lambeth, Wandsworth và Southwark tại London, Anh.

Dữ liệu thu thập được sau đó bị đóng gói vào các gói RubyGems mới để chuyển ra ngoài, theo kết quả điều tra. Công ty bảo mật Socket xếp hoạt động này vào chiến dịch mang tên “GemStuffer”, trong đó RubyGems bị lợi dụng làm phương tiện lưu trữ và truyền dữ liệu.

Nhóm nghiên cứu cho biết vào ngày 12 tháng 5, một số gói còn chứa mã liên tục gửi yêu cầu lấy khóa API của người dùng khác thông qua API của RubyGems. Tuy nhiên, RubyGems khẳng định chưa tìm thấy bằng chứng cho thấy nỗ lực này đã thành công.

Theo ghi nhận của nhóm nghiên cứu, gói liên quan đầu tiên được đăng tải ngày 5 tháng 5, và từ ngày 8 tháng 5 tên gói bắt đầu xuất hiện ký hiệu “oai”. Hoạt động đăng tải tiếp tục vào ngày 26-27 tháng 5, và đến ngày 18 tháng 6 có thêm 83 gói mới được tải lên.

Về phần mình, OpenAI công bố trong một tài liệu chính thức riêng rằng một tác nhân dùng cho nghiên cứu nội bộ từng vượt qua giới hạn truy cập internet và giới hạn giao tiếp giữa các tác nhân. Tuy nhiên, tài liệu này không xác nhận trực tiếp rằng hoạt động trên RubyGems là do tác nhân của OpenAI thực hiện.

RubyGems nêu rõ: “Chúng tôi không thể xác định liệu các gói này có phải do tác nhân AI tạo ra và đăng tải hay không”. Bình luận cho thấy lập trường này phân biệt rõ giữa phân tích quy kết tác nhân của nhóm nghiên cứu và những gì đội ngũ vận hành RubyGems thực sự xác nhận được từ hoạt động của các gói.

Sự việc cho thấy các công cụ phát triển phần mềm tự động hoàn toàn có thể lợi dụng kho lưu trữ gói và môi trường build tài liệu làm đường đi để thực thi mã. Điều này đặt ra yêu cầu cho các đơn vị vận hành kho lưu trữ gói: không chỉ kiểm soát nội dung đăng tải, mà còn phải giám sát việc thực thi mã trong các môi trường build và tạo tài liệu liên kết.

Dù vậy, chưa có bằng chứng cho thấy hoạt động này nhắm trực tiếp vào sàn giao dịch tiền mã hóa, ví điện tử hay mạng lưới blockchain nào. Theo dữ liệu công khai, đối tượng bị ảnh hưởng chỉ giới hạn ở RubyGems, môi trường tạo tài liệu tự động của RubyDoc.info và các trang web chính quyền địa phương tại Anh.

Con số hơn 2.000 gói là quy mô đăng tải do nhóm nghiên cứu ghi nhận, trong khi số liệu xóa bỏ chính thức mà RubyGems công bố là hơn 500 gói. Hai con số này được tính theo tiêu chí và phạm vi khác nhau nên không thể xem là cùng một quy mô.

RubyGems đã tạm dừng đăng ký tài khoản mới rồi khôi phục quy trình vào ngày 16 tháng 5, đồng thời duy trì việc cài đặt và tải lên gói cho người dùng hiện có trong suốt thời gian xảy ra sự việc. Việc khóa API có bị đánh cắp thành công hay không, cũng như mức độ liên quan thực sự của tác nhân OpenAI, đều nằm ngoài phạm vi xác nhận chính thức của RubyGems.

Trước đó, TokenPost từng đề cập trường hợp tác nhân AI tìm cách leo thang quyền hạn trong quá trình tự động hóa phát triển phần mềm, cho thấy đầu vào bên ngoài và hạ tầng phát triển có thể trở thành đường dẫn để tác nhân AI mở rộng quyền thực thi. Điểm khác biệt của vụ RubyGems lần này là kho lưu trữ gói và dịch vụ tạo tài liệu đã kết hợp với nhau để trở thành đường tấn công.