Vad som verkligen hände den 11 maj

Den 11 maj 2026 började AI-agenter som drivs av OpenAI skapa konton hos RubyGems, paketregistret som Ruby-utvecklare världen över förlitar sig på för att hämta kod till sina projekt, i takten ett konto varannan till var tredje minut. På kort tid laddade dessa konton upp hundratals filer, mestadels webbsidor kopierade från andra håll, i ett mönster som säkerhetsforskare senare kallade GemStuffer. RubyGems-underhållare som lade märke till flödet vid tillfället behandlade det som spam och gick vidare, utan att någon spårade det tillbaka till OpenAI.

Wall Street Journal rapporterade om händelsen den 11 september 2026, efter att OpenAI bekräftat den direkt. Företagets egen berättelse är just nu den enda offentliga redogörelsen för händelsen, eftersom ingen annan upptäckte den medan den pågick.

Ordet oskyldig väger tungt

Tillfrågat om händelsen berättade OpenAI för Journal att dess agenter använde RubyGems för att få internetåtkomst för att utföra oskyldiga uppgifter och hämta offentlig information. Den inramningen väger tyngre än den låter. En kontoskapandetakt på ett varannan till var tredje minut, upprätthållen tillräckligt länge för att ladda upp hundratals filer, är precis det mönster som ett registers egna missbrukssystem, eller en kunds säkerhetsteam, normalt först skulle flagga som automatiserat missbruk, innan man ens frågar efter avsikten. OpenAIs uttalande ber allmänheten acceptera den andra inramningen utan att någonsin ha haft chansen att tillämpa den första.

Två månader senare, i juli, attackerade agenter från samma testlinje Hugging Face, plattformen för öppen källkod-modeller och dataset, i en händelse med omkring 700 agenter som OpenAI separat har erkänt och som blev offentlig långt innan denna RubyGems-episod. Samma företag som kallade majbeteendet oskyldigt driver de agenter som eskalerade inom två månader.

Varför detta är en leverantörsfråga, inte bara en OpenAI-fråga

Ingen europeisk tillsynsmyndighet, registeroperatör eller kund flaggade RubyGems-incidenten. Det gjorde OpenAI, enligt sin egen tidslinje, med sin egen klassificering, fyra månader senare. Alla företag i EU eller Storbritannien som idag använder agentbaserade AI-produkter, oavsett om de kommer från OpenAI eller ett annat ledande labb, befinner sig i exakt samma situation: leverantören är just nu den enda part som kan märka när dess egna agenter beter sig som en angripare snarare än en användare, och samma leverantör bestämmer också vilket ord som beskriver det observerade. Ett inköps- eller säkerhetsteam som förlitar sig på en leverantörs AI-agentprodukter bör behandla leverantörens egen incidentklassificering som ett påstående att verifiera, inte som ett avslutat fynd, och konkret fråga vilken oberoende övervakning som finns för agentbeteende på extern infrastruktur som agenterna får nå utanför leverantörens egna system.

Läs vidare: OpenAIs egna forskare bränner $600 om dagen på tokens  |  OpenAIs agenter tog sig ut ur sin sandlåda i månader