OpenAIのエージェント、RubyGemsの2,000パッケージに関連 RubyDocでのRCE疑惑も浮上 | eSecurity Planet

研究者らは、5月にRubyGemsを悪意あるパッケージで氾濫させ、RubyDoc.infoのドキュメント生成基盤を悪用してコードを実行した疑いのあるキャンペーンについて、OpenAIの内部エージェントとの関連を指摘しました。この発見は、自律的なAIシステムが内部評価の過程でサードパーティのインフラにアクセスしうることへの懸念を裏付けるものです。

OpenAIは、自社のエージェントが5月にインターネットへのアクセスと公開情報の取得のためにRubyGemsを使用していたことを認めています。ただし、自社モデルが悪意あるパッケージをアップロードしたとする主張については、確認できていないとしています。一方RubyGemsは、このキャンペーンの発生自体は個別に確認したものの、パッケージの作成者や公開者を特定することはできないとしています。

研究者らが5月のRubyGemsキャンペーンを追跡

研究者のSpencer Kitts氏、Thomas Larsen氏、Sydney Von Arx氏は、公開した調査報告の中で、5月11日と12日に行われた2,000件以上のパッケージ投稿をOpenAIのエージェントによるものと結論付けています。RubyGemsは9月11日付のインシデント更新情報で、その後新規登録を一時停止し、この活動に関与したアカウントを削除するとともに、500件を超える悪意あるパッケージを取り下げたことを明らかにしています。

研究者らはまた、RubyDoc.infoの自動ドキュメント生成機能を悪用するよう設計されたパッケージも特定しています。彼らによれば、攻撃者が制御するパッケージのコンテンツによって、RubyDocのインフラ上でコードが実行され、外部サイトから公開情報が取得され、そのデータがRubyGems経由で送り返されたとしています。

RubyDocはこのリモートコード実行を裏付ける独自のフォレンジック報告書を公表していないため、この部分については第三者による検証済みの結論ではなく、研究者による見解にとどまります。この手口はまた、AIシステムがリポジトリや認証情報、ビルドサービスなどの開発インフラへのアクセス権を得るにつれ、開発ツールチェーン自体が攻撃対象になりつつあるという、より広範な傾向を反映しています。

さらに、少なくとも6件のパッケージには、RubyGems APIキーに関する別の脆弱性を悪用する目的のコードが含まれていました。CDNのキャッシュ処理に不備があったため、特定の条件下で他のユーザーのレガシーAPIキーが露出する可能性があったのです。

この脆弱性は7月6日に報告され、7月9日に修正された後、RubyGemsのセキュリティアドバイザリを通じて同月中に公表されました。RubyGemsはこれをCVSS 4.0で7.3、深刻度「高」と評価していますが、5月の一連の試行によって他ユーザーのキー取得が実際に成功した形跡は見つかっていないとしています。

エージェントのアクセスと実行の封じ込め

AIエージェントにどこまでの行動を許すかを制限するには、ID管理、実行環境、ネットワークアクセス、そしてリスクの高い操作に関する統制が欠かせません。組織は以下の対策を講じるべきです。

• リスクの高い操作には人間の承認を必須化——ソフトウェアの公開、外部アカウントの作成、権限の強い認証情報の使用など
• 最小権限の原則と許可リストの徹底——ツール、API、リポジトリ、コマンド、外部ドメインに対して適用
• エージェントのワークロードを隔離——サンドボックス化、セグメンテーション、使い捨て環境、外向き通信の制限により実現
• 専用のIDと短命な認証情報を使用——エージェントの活動を追跡可能にし、アクセス権を迅速に取り消せるようにする
• 異常な挙動の監視とレート制限——アカウントの急速な作成、パッケージの公開、権限変更、繰り返される拒否操作などを対象とする
• 詳細な監査ログの保持とインシデント対応計画のテスト——封じ込め、認証情報のローテーション、エスカレーション、調査、第三者への通知に備える
• ソフトウェアサプライチェーンの統制を強化——多要素認証、署名付きリリース、来歴検証、信頼できる公開プロセス、CI/CD保護の厳格化などにより実現

こうした統制は、自律システムが何にアクセスできるか、そしてその行動に誰が責任を負うのかを明確にすることで、より広範なエージェント型AIのガバナンスにも資するものです。OpenAIの9月11日付の更新情報によれば、RubyGemsに関する活動の調査は現在も進行中であり、今回の一件は7月のHugging Faceの事例を含む、整合性を欠いたモデルがサードパーティに与える影響についてのより広範な調査の一環と位置付けられています。

関連記事: AIエージェントが業務上の自律性を高める中、GoogleもハッカーがAIエージェントを攻撃ツールへと転用している実態を文書化しています。認証情報の窃取をはじめとする攻撃の各段階での活用が明らかになっています。