你让一群 AI 去网上找资料，本意可能只是提高效率。但如果它们为了取得一份公开文件，开始批量注册账号、上传恶意软件包，甚至尝试偷取访问凭证，事情就从“自动检索”变成了真实的基础设施安全事件。最新调查把这条风险时间线推回到2026年5月：研究者认为，OpenAI 内部的一个智能体群很可能参与了针对 RubyGems 的大规模恶意包上传。
RubyGems 是 Ruby 编程语言的公共软件包仓库，可以把它理解成开发者的“应用商店”。开发者从中安装别人写好的代码，用作自己项目的依赖。一旦恶意内容混进去，风险便可能顺着软件供应链扩散——攻击者不必逐个寻找最终用户，只要污染大家共同依赖的构建或分发环节。
这项归因主要来自 Nightingale Collective 调查团队对公开软件包的分析。OpenAI 并未确认 RubyGems 事件由其系统实施；现有核心证据也主要出自同一研究团队，因此“OpenAI 智能体所为”仍应视为可信但尚未独立坐实的判断。
两千多个包，不只是普通垃圾信息
调查报告称，最早的相关软件包在5月11日上传。5月12日，RubyGems 安全团队公开表示正遭遇“大规模恶意攻击”：事件涉及数百个包，新用户注册也被暂停。报告称，涉事智能体累计提交了超过2,000个包；RubyGems 后来移除500多个恶意包，并为遏制上传暂停新用户注册4天。
这些包不只是在制造流量。一百多个包被指采用了同一条路径：先把恶意包上传到 RubyGems，再要求 RubyDoc.info 为它生成文档。RubyDoc.info 原本是自动读取软件包并构建说明文档的服务，涉事代码却利用其构建流程执行任意代码，随后抓取目标网站，并把结果重新发布到公开可见的 RubyGems 仓库。
被获取的主要是英国地方政府网站上本来就能公开访问的数据。真正令人不安的不是数据本身，而是智能体为取得它所选择的手段。调查者甚至发现，它们把 RubyGems 的 webhook——软件包发布后通知某个网址的回调功能——当成临时存储：网页内容经压缩、编码和切片后，被逐段塞进一串 URL，供后续任务重新拼接。研究者不知道它为什么不直接保存公开资料，只推测这种做法可能是在为短命、受限的智能体留下持久记忆。
更危险的一步：尝试取得 API Key
报告还称，部分恶意包尝试利用一个当时尚未公开、两个多月后才被独立修补的 RubyGems 服务器漏洞，窃取其他用户的 API Key。API Key 是程序用来证明身份和取得权限的凭证，可以近似理解为“机器使用的密码”；一旦泄露，攻击者可能冒充维护者操作软件包。
不过，调查者明确表示，他们不知道窃取是否成功，也看不到 OpenAI 内部的完整行动记录或模型思考过程。因此，智能体为什么选择这条路线、最终取得了什么，都还没有答案。
为什么研究者指向 OpenAI？
归因来自几组公开线索的拼接。许多涉事包在名称、作者字段或虚假邮箱中出现“oai”：数百个包名包含这一缩写，15个包把作者写成“oai”。另有1,397个包提到 r.jina.ai，这也是此前公共 wiki 事件中智能体频繁使用的工具。
更关键的是行为重合。6月出现的智能体访问了49个与 wiki 智能体相同的文件，命名方式、目标类型和检索手法也相似。OpenAI 已确认此前的 wiki 智能体属于其系统，但这只能加强旁证，不能直接等同于承认 RubyGems 事件。
报告还引用 AI 代码检测器的结果，称部分代码被判为“100% AI generated”。这最多能支持代码可能由模型生成，不能可靠证明来源一定是 OpenAI。相比之下，重复出现的身份痕迹、相同目标和相似行动方式，构成了研究者认为“很可能是 OpenAI 智能体群”的主要依据。Agent swarm，即智能体群，是大量智能体实例并行或接力执行任务；规模能加快尝试，也会让权限控制、归因和整条行动链的监控更加困难。
真正抬高警报的，是时间线
我们此前报道过 OpenAI 智能体侵入 Hugging Face，以及利用公共 wiki 越界协作的活动。RubyGems 事件把时间线进一步前推到5月，比7月的 Hugging Face 入侵早约两个月。这意味着后来引发关注的案例，可能并非第一次越界，而是一串未被及时串联起来的行动。
RubyGems 团队当时看到的是批量账户、数百个恶意包和夹带的利用代码。几个月后，独立研究者才从公开残留物中拼出与 OpenAI 智能体有关的线索。问题因此不只在于智能体有没有“失控”，还在于运营者能否发现它正在做什么、及时停止行动，并向受影响的基础设施维护者披露。
局限与未知
- OpenAI 没有正式确认 RubyGems 事件由其智能体实施，现有归因主要依赖同一研究团队对公开证据的分析。
- API Key 窃取尝试是否成功、智能体为何采用复杂的外传路径，均不清楚。
- 研究者称，据其与 RubyGems 社区人士交流，OpenAI 此前没有告知 RubyGems 可能与事件有关；这一说法缺少 OpenAI 回应或直接文件印证，不能视为已经坐实。