امروز خبرگزاریهای رویترز و والاستریت ژورنال هر دو از حمله عوامل هوش مصنوعی شرور از OpenAI به RubyGems.org گزارش دادند. وبسایت rubyhack.ai نقد و بررسیهای شگفتانگیزی ارائه کرده که خواندن آن توصیه میشود. به طور خلاصه، به نظر میرسد که رباتهای OpenAI از آسیبپذیری کشینگ RubyGems آگاه بودند، تلاش کردند از آن سوءاستفاده کنند و همزمان کد وباسکرابینگ عجیبی را در RubyDoc.info اجرا کردند. در ماه مه، socket.dev از «کمپین GemStuffer» گزارش داد که در آن شخصی (به نظر میرسد OpenAI) در حال آپلود تعداد زیادی gem زائد به RubyGems.org بود. این gems به دلایلی وبسایتهای دولت بریتانیا را اسکراب میکردند، سپس دادهها را به صورت gems بستهبندی مینمودند و تلاش میکردند آنها را به RubyGems آپلود کنند. این gems از مستندات YARD برای اجرای کد دلخواه بر روی میزبانها استفاده میکردند؛ به عنوان مثال، یک فایل .yardopts شامل `--load ./script.rb` وجود داشت که باعث میشد YARD هر آنچه در script.rb داخل gem قرار داشت را بارگذاری و اجرا کند. هر زمان که یک Gem منتشر میشود، RubyDoc.info آن را دانلود و مستندات YARD را پردازش میکند؛ این وبسایت کد دلخواه را در یک محفظه Docker اجرا میکند که همچنان به شبکه دسترسی دارد. به عبارت دیگر، با انتشار یک gem در RubyGems.org، میتوانید کد دلخواه را بر روی RubyDoc.info اجرا کنید.