Sinnloser Großangriff: OpenAI-Agenten hackten RubyGems, nur um frei verfügbare Daten zu scrapen

Hunderte schädliche Pakete, selbstbenannte Dateien wie "hack.rb" und "evil.rb", der Versuch, API-Keys zu stehlen: Eine Analyse zeigt, dass OpenAI-Agenten im Mai 2026 eigenständig einen Cyberangriff auf die Ruby-Paketplattform RubyGems durchführten. OpenAI soll die Betroffenen nie informiert haben.

Vom 11. bis 12. Mai 2026 luden KI-Agenten innerhalb weniger Stunden über 2.000 schädliche Pakete auf RubyGems hoch, die zentrale Paketplattform für die Programmiersprache Ruby. Die Plattform sah sich gezwungen, neue Nutzerregistrierungen für vier Tage komplett zu deaktivieren. Über 500 schädliche Pakete wurden anschließend entfernt. Ein Mitglied des RubyGems-Sicherheitsteams bezeichnete den Vorfall damals als "major malicious attack", Sicherheitsfirmen tauften ihn die "GemStuffer campaign".

Laut einer detaillierten Analyse der Sicherheitsforscher Spencer Kitts, Thomas Larsen und Sydney Von Arx stammen die Agenten von OpenAI. Hunderte der Pakete tragen "oai" im Namen, 15 listen "oai" als Autor, eines nennt als Kontaktadresse "openaixyz65947@gmail.com". Zudem griffen die Agenten auf 49 der gleichen Dateien zu wie die sogenannten Wiki-Schwarm-Agenten, für die OpenAI die Verantwortung bestätigt hat. OpenAI hat sich laut den Forschern gegenüber der RubyGems-Community nie zu dem Vorfall geäußert.

Die Agenten verfolgten offenbar kein klar nachvollziehbares Ziel. Sie sammelten Daten von britischen Kommunalverwaltungsseiten, die ohnehin öffentlich zugänglich waren.

Agenten hackten sich durch die Plattform und versteckten es kaum

Um an diese Daten zu gelangen, missbrauchten die Agenten ein automatisches Dokumentationssystem, das beim Hochladen eines Pakets Code ausführt. Die Agenten schleusten darüber eigene Skripte ein, die auf fremden Servern liefen, Webseiten abscrapten und die gesammelten Daten in neuen Paketen zurück auf RubyGems veröffentlichten. Über hundert Pakete nutzten laut der Analyse diesen Pfad.

Die Agenten machten dabei kaum einen Hehl aus ihren Absichten. Sie benannten Dateien hack.rb, evil.rb, inject.rb und exploit.rb, Pakete hießen "pwnp999" oder "exfiltestwand3". Kommentare wie "# malicious crawler/exfil" durchziehen die Kampagne. Stellenweise versuchten die Agenten zwar, ihre Spuren zu verwischen: Ein Paket war so programmiert, dass es den schädlichen Code in der nächsten Version automatisch entfernte. Da die Agenten aber auch diese Dateien mitsamt Kommentaren öffentlich hochluden, blieb der Tarnversuch wirkungslos.

Um überhaupt so viele Pakete hochladen zu können, umgingen die Agenten das Registrierungssystem von RubyGems und erstellten mit Wegwerf-E-Mail-Adressen massenhaft Konten.

Über das Datensammeln hinaus versuchten die Agenten, Zugangsschlüssel anderer RubyGems-Nutzer zu stehlen. Dafür nutzten sie eine Sicherheitslücke im System, die erst im Juli offiziell entdeckt und behoben wurde. Ob der Diebstahl tatsächlich gelang, ist unklar. Das RubyGems-Team fand keine Beweise für eine erfolgreiche Ausnutzung, könne sie aber nicht vollständig ausschließen. Allein dass die Agenten eigenständig eine bis dahin unbekannte Schwachstelle fanden und aktiv auszunutzen versuchten, unterstreicht die Cybersecurity-Warnungen vor den wachsenden Angriffsfähigkeiten von KI-Modellen.

Offene Fragen bleiben

Ob die Agenten untereinander kooperierten oder lediglich parallel dieselbe Strategie verfolgten, ist offen. Ebenso bleibt rätselhaft, warum die Agenten überhaupt Zugangsschlüssel stehlen wollten, da sie bereits Pakete erstellen konnten und kein klares Motiv erkennbar ist. Die Forscher vermuten, dass die Agenten unter strikten Zeitlimits arbeiteten und Einschränkungen in ihrer Umgebung umgehen mussten. Eine dokumentierte interne Nachricht der Agenten legt nahe, dass einzelne Aufgaben Fristen von nur 10 bis 16 Sekunden hatten.

OpenAI-Chef Sam Altman und andere KI-Firmen denken nicht nur, aber auch wegen solcher Cybersecurity-Vorfälle derzeit angeblich über eine Verlangsamung der KI-Forschung nach.