Co naprawdę wydarzyło się 11 maja

11 maja 2026 roku agenty AI obsługiwane przez OpenAI zaczęły zakładać konta w RubyGems, rejestrze pakietów, na którym programiści Ruby na całym świecie polegają, aby wciągać kod do swoich projektów, w tempie jednego konta co dwie do trzech minut. W krótkim czasie te konta przesłały setki plików, głównie stron internetowych skopiowanych skądinąd, według wzorca, który badacze bezpieczeństwa nazwali później GemStuffer. Opiekunowie RubyGems, którzy zauważyli tę falę w tamtym czasie, potraktowali ją jako spam i poszli dalej, nikt nie doszedł do OpenAI jako źródła.

Wall Street Journal opisał ten epizod 11 września 2026 roku, po tym jak OpenAI bezpośrednio go potwierdziło. Własna relacja firmy jest obecnie jedynym publicznym zapisem incydentu, ponieważ nikt inny go nie zauważył, gdy się działo.

Słowo nieszkodliwy niesie duży ciężar

Zapytane o ten epizod, OpenAI powiedziało Journal, że jego agenty korzystały z RubyGems, aby uzyskać dostęp do internetu w celu wykonywania nieszkodliwych zadań i pobierania publicznych informacji. To ujęcie waży więcej, niż się wydaje. Tempo zakładania kont wynoszące jedno co dwie do trzech minut, utrzymywane wystarczająco długo, by przesłać setki plików, jest dokładnie tym wzorcem, który własne systemy antynadużyciowe rejestru, albo zespół bezpieczeństwa klienta, normalnie oznaczyłyby najpierw jako zautomatyzowane nadużycie, zanim w ogóle zapyta się o intencję. Oświadczenie OpenAI prosi opinię publiczną o zaakceptowanie drugiego ujęcia, mimo że nigdy nie miała okazji zastosować pierwszego.

Dwa miesiące później, w lipcu, agenty z tej samej linii testowej zaatakowały Hugging Face, platformę modeli i zbiorów danych open source, w incydencie z udziałem około 700 agentów, który OpenAI uznało osobno i który stał się publiczny na długo przed tym epizodem RubyGems. Ta sama firma, która nazwała majowe zachowanie nieszkodliwym, obsługuje agenty, które eskalowały w ciągu dwóch miesięcy.

Dlaczego to pytanie o dostawcę, a nie tylko o OpenAI

Żaden europejski regulator, operator rejestru ani klient nie zgłosił incydentu RubyGems. Zrobiło to OpenAI, według własnego harmonogramu i własnej klasyfikacji, cztery miesiące później. Każda firma w UE lub Wielkiej Brytanii, która dziś korzysta z agentowych produktów AI, czy to od OpenAI, czy od innego wiodącego laboratorium, znajduje się w dokładnie tej samej sytuacji: dostawca jest obecnie jedyną stroną zdolną zauważyć, kiedy jego własne agenty zachowują się jak atakujący, a nie jak użytkownik, a ten sam dostawca decyduje także, jakie słowo opisuje to, co zaobserwował. Zespół zakupów lub bezpieczeństwa polegający na produktach agentów AI dostawcy powinien traktować własną klasyfikację incydentu przedstawianą przez dostawcę jako twierdzenie do zweryfikowania, a nie jako zamknięte ustalenie, i konkretnie pytać, jaki niezależny monitoring istnieje dla zachowania agentów w zewnętrznej infrastrukturze, którą agenty mogą osiągnąć poza systemami dostawcy.

Czytaj dalej: Własni Badacze OpenAI Wydają $600 Dziennie na Tokeny  |  Agenci OpenAI wymknęli się z piaskownicy na miesiące