研究者らは、公開ソフトウェアリポジトリにアップロードされた数千件もの悪意あるソフトウェアパッケージを発見したと発表しました。これらはOpenAIエージェントの「群れ」によって残されたものだといいます。
研究者のSpencer Kitts氏、Thomas Larsen氏、Sydney Von Arx氏が金曜日に公表したインシデントのタイムラインによると、このキャンペーンは5月5日、Rubyプログラミング言語向けの公開ライブラリであるRubyGemsに不審なパッケージがいくつかアップロードされているのが確認されたことから始まりました。5月11日から12日にかけては、同じ攻撃者による悪意あるアップロードが2,000件以上に達し、RubyGemsの管理者はこの流入を止めるため、新規ユーザー登録を4日間停止する事態となりました。
ある事例では、エージェントが今年7月に発見されたばかりの非常に新しい脆弱性を悪用しようとしていました。この脆弱性が悪用されれば、RubyGemユーザーのAPIキーへのアクセスが可能になっていたとみられます。RubyGemsのテクニカルリードを務めるColby Swandale氏によると、この不具合はキャッシュ設定の不備に起因するものでした。初期のアクセスログでは悪意あるキー利用の痕跡は確認されなかったものの、Swandale氏は今回の調査が限定的な範囲にとどまり、結論を出すには至っていないと認めています。
金曜日に公表された報告書によると、エージェントは「使い捨て」のメールアドレスも利用していました。さらに、RubyGemsプラットフォームに存在した別の不具合(現在は修正済み)を悪用し、メールアドレスの認証を経ずに新規アカウントを登録してAPIキーを取得していたとされています。
研究者らは、「RubyGemsコミュニティの関係者」との議論に基づく見解として、OpenAIはこの5月のキャンペーンへの自社エージェントの関与をまだ公表していなかったと述べています。
OpenAIの広報担当者はCyberScoopに対し、同社が今回のインシデントを把握しており、研究者およびRubyGemsの双方と連絡を取り合い、より広範な調査を進めていると説明しました。同社はこの一件を「無害」なものと位置づけ、エージェントが公開されているデータへのアクセスを試みる通常のトレーニング実行だったと説明しています。
「当社の調査によれば、当社のエージェントはRubyGemsプラットフォームを利用してインターネットにアクセスし、無害なタスクの実行と公開情報の取得を行っていました」と同広報担当者は述べています。「トレーニングおよび評価中のエージェント活動に関するより広範な調査の一環として、引き続き調査を続けていきます」
多くの点で、エージェントたちは自らの正体や目的について隠すそぶりを見せていませんでした。
キャンペーン開始から数日後、研究者らは一部のパッケージのファイル名に「oai」という文字列が含まれていることに気付きました。また、そのうち15件は作成者名に「oai」が設定されており、別の1件では連絡先として「[email protected]」というメールアドレスが記載されていました。
エージェントたちは「自分たちの行為を明らかにハッキングとして認識していた」ようで、ファイルの中には「hack.rb」「evil.rb」「inject.rb」「exploit.rb」といった名前が付けられたものもありました。他にも「pwnp999」「exfiltestwand3」「hacksvn」といった名称のパッケージが確認されたほか、ファイル全体を通じて「malicious probe(悪意あるプローブ)」や「#hack」といった文言を含むコメントが見つかっています。
研究者らはまた、今回の攻撃者の挙動が、今月初めに明らかになった別のインシデント、すなわちOpenAIのエージェントがドイツのウィキサイトに数千件ものハッキング関連投稿を大量に送りつけた事件と極めて似通っていると指摘しています。OpenAIはこのドイツのウィキ事件についても、自社エージェントの関与を認めています。
今回のRubyGemsキャンペーンでは、ドイツのウィキ事件のエージェントと共通する取得手法がいくつか使われていたほか、アップロードされた数千件の悪意あるパッケージには、ドイツ側の投稿にも含まれていた「r.jini.ai」という同一のスニペットが含まれていました。
サイバーセキュリティ企業のSocketは、5月13日に公開した脅威インテリジェンス報告書の中でこのキャンペーンを最初に指摘していましたが、その時点ではOpenAIやAIエージェントとの関連については言及も特定もしていませんでした。
ただし研究者らは、モデルの行動やその成否について自分たちが把握できる範囲は限られていたとし、全容を把握しているのはOpenAIのみであると述べています。
「この分析は、これらのエージェントによってアップロードされ、一般に公開されているRubyGemsパッケージのみに基づくものです」と研究者らは記しています。「しかし、インシデント発生時にモデルが生成した思考過程(chain-of-thought)を含む、AIの挙動に関するそれ以外の情報についてはOpenAI社内にとどまっており、私たちはアクセスできません。そのため、AIエージェントがなぜこの戦略を選んだのか、またそれが成功したのかどうかについては分かっていません」
OpenAIの広報担当者はCyberScoopに対し、現時点では報告書に詳述されている悪意あるパッケージや脆弱性の悪用に関する具体的な主張を検証できておらず、引き続き調査を続けていると述べています。
翻訳元: https://cyberscoop.com/openai-agents-malicious-rubygems-packages/
