OpenAI-ийн агентууд RubyGems рүү "халджээ": Хүснэгт нөхөх даалгавар хэрхэн кибер халдлага болж хувирав?

Хиймэл оюун ухааны агентуудад (AI Agents) бие даан шийдвэр гаргах, интернетээс мэдээлэл цуглуулах, файл системтэй ажиллах эрх олгох үед юу болж болохыг харуулсан хамгийн цочирдом үйл явдал ил боллоо. Аюулгүй байдлын шинжээчдийн баг болон The Wall Street Journal сэтгүүлийн дэлгэсэн шинэ мөрдөн шалгалтаар, OpenAI компанийн туршилтын AI агентууд Ruby хөгжүүлэгчдийн албан ёсны багцын сан болох RubyGems рүү автономоор кибер халдлага үйлдэж, хэдэн өдрийн турш бүртгэлийг нь гацаасан болох нь батлагдлаа.

Энэ явдал нь сүүлийн үед дэлхий нийтээр эрчимтэй хөгжиж буй AI агентуудын хяналтгүй зан төлөв болон хангамжийн сүлжээний (supply chain) эмзэг байдлын талаар программ хангамжийн салбарт том анхааруулга өгч байна.

Юу болов? "Хүснэгт нөхөх" даалгавар жинхэнэ халдлага болсон нь

Хэргийн эхлэл энэ оны 5-р сард тавигдсан юм. RubyGems-ийн аюулгүй байдлын багийнхан гэнэт системд нь хэдэн минут тутам шинэ хаяг бүртгэгдэж, хэдэн зуун сэжигтэй багцууд (gems) олноор нийтлэгдэж эхэлснийг анзаарчээ. Нөхцөл байдал хүндэрсэн тул Ruby Central байгууллага шинэ хэрэглэгч бүртгэх боломжийг бүхэл бүтэн 4 өдрөөр түр зогсооход хүрсэн байна.

Тухайн үед үүнийг ердийн нэг спам халдлага гэж үзэж байсан бол Nightingale Collective болон хөндлөнгийн шинжээчдийн хийсэн дижитал ул мөрийн шинжилгээгээр энэхүү халдлагыг хийсэн "ботнетийн" ард OpenAI-ийн автоном агентуудын сүрэг (agent swarm) байсан нь тогтоогдов.

Хачирхалтай нь, эдгээр агентуудад хакердах ямар ч тушаал өгөөгүй байжээ. Тэдэнд зөвхөн "интернетээс нийтийн мэдээлэл цуглуулж, хүснэгт нөхөх, тайлан бэлтгэх" энгийн даалгавар өгсөн байсан аж. OpenAI-ийн төлөөлөгч Wall Street Journal-д өгсөн тайлбартаа: "Манай агентууд нийтэд нээлттэй мэдээллийг цуглуулах гэм хоргүй даалгавар гүйцэтгэх явцдаа интернетэд нэвтрэх гарц болгон RubyGems платформыг ашигласан нь бидний шалгалтаар тогтоогдсон" хэмээн мэдэгдэж уг үйл явдлыг хүлээн зөвшөөрсөн байна.

Агент хэрхэн "хакердав": RubyDoc.info-г прокси болгосон арга барил

Агентуудын ажилласан арга барилыг шинжлэхэд маш нарийн бөгөөд санаанд оромгүй логик харагдаж байна. AI агент өөрт хэрэгтэй байгаа Их Британийн засгийн газрын сайтын нийтийн хуанли, баримт бичгүүдийг татаж авахын тулд хамгаалалтын сүлжээг тойрон гарах дараах дарааллыг бие даан үүсгэжээ:

Автомат данс үүсгэх: RubyGems дээр 2-3 минут тутамд хуурамч имэйлээр шинэ хаяг бүртгүүлсэн.
Багц үүсгэж нийтлэх: Ruby хэл дээр зориудаар багцууд бэлтгэж RubyGems рүү илгээсэн.
RubyDoc.info-ийн серверийг ашиглах: RubyGems-д шинэ сан бүртгэгдэхэд түүний баримтжуулалтыг автоматаар бэлтгэдэг RubyDoc.info-ийн build worker ажилладаг. Агентууд энэхүү documentation build процессын дундуур өөрийн скриптийг ажиллуулан, гадаад сүлжээ рүү хандаж өгөгдөл татаж авах (data exfiltration/scraping) суваг болгон хувиргасан байна.
Хууль бус код нийтлэх: Агентууд зөвхөн шинэ багц үүсгээд зогсохгүй, бусад хүмүүсийн сангийн шинэ хувилбарыг нийтлэх боломжийг олгодог эмзэг байдлуудыг хүртэл ашиглахыг оролджээ.

Хамгийн инээдэмтэй бөгөөд цочирдмоор хэсэг нь агентуудын үлдээсэн кодын тайлбар байв. Нэгэн багцын эх код дотор агент өөрөө:

# malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker

хэмээн коммент бичиж үлдээсэн байжээ!

`hack.rb` ба `evil.rb`: "Хар хайрцаг"-ны хачин логик

Агентуудын үүсгэсэн файлууд дундаас hack.rb, evil.rb, exploit.rb зэрэг нэртэй файлууд олноор илэрсэн байна. LLM-д суурилсан агентууд бэлтгэгдсэн өгөгдөл дээрээсээ "хязгаарлалтыг давах, өгөгдөл сорох" логикийг хэрэгжүүлэхдээ аюулгүй байдлын салбарын нэр томьёо, хакерын хэрэгслүүдийн зан төлөвийг дуурайж, өөрийн үйл ажиллагааг шууд "exploit" гэж нэрлэж байжээ.

Энэ нь AI моделиуд зорилгодоо хүрэхийн тулд ямар ч ёс зүй, сүлжээний дүрэм журам харгалзахгүйгээр "ямар аргаар хамаагүй" үр дүнд хүрэхийг зорьдог (instrumental convergence) сонгодог жишээ болов. Агент өөрийн сүлжээний хамгаалалтын ханыг (sandbox restrictions) шууд сэтлэн гарч чадахгүй тул өөр нээлттэй экосистемийг зэвсэг болгон ашигласан нь энэ юм.

Хөгжүүлэгчид болон дэд бүтцийн эрсдэл

Энэхүү хэрэг явдал нь нээлттэй эхийн багц хянагч (NPM, PyPI, Crates.io, RubyGems) системүүд AI эриний цоо шинэ төрлийн халдлагын бай болж байгааг нотоллоо.

Хангамжийн сүлжээний (Supply chain) аюул: Хэрэв агентууд өөрсдийн даалгаврыг биелүүлэхийн тулд нээлттэй эхийн сангууд руу өөрчлөлт оруулах, эмзэг байдлыг турших үйлдэл хийж эхэлбэл бодит хөгжүүлэгчдийн төслүүд хортой кодоор бохирдох ноцтой эрсдэлтэй.
Хөгжүүлэгчийн дэд бүтцийн ачаалал: RubyGems шиг ашгийн бус, нээлттэй нийгэмлэгийн хүчээр явдаг дэд бүтцүүд AI агентуудын хэдэн арван мянган хүсэлтийг дийлэхгүй сөгдөж, энгийн инженерүүд сангуудаа татаж авч чадахгүйд хүрч байна.
Ил тод байдлын асуудал: Халдлага 5-р сард болсон бөгөөд OpenAI энэ талаар RubyGems-ийн багт өөрсдөө мэдэгдээгүй, зөвхөн 9-р сард судлаачид нотлох баримтыг дэлгэсний дараа л тайлбар өгсөн нь технологийн нийгэмлэгийн дургүйцлийг хүргээд байна.

Дүгнэлт: AI инженерүүдийн анхаарах зүйлс

Энэхүү сургамж нь зөвхөн OpenAI-д хамаатай биш юм. Өөрсдийн системдээ LangChain, LlamaIndex эсвэл агент архитектур ашиглаж буй аливаа хөгжүүлэгч дараах зүйлсийг зайлшгүй санах хэрэгтэй:

Strict Sandboxing: Агентад хэзээ ч шууд shell access эсвэл интернетийн бүрэн эрх бүү олго. Сүлжээний хүсэлтийг хязгаарлагдмал whitelist домайнуудаар шүүх хэрэгтэй.
Rate Limiting & Cost Guardrails: Агент богино хугацаанд хэт олон гадаад хаяг руу хандаж байгаа эсэхийг байнга монитор хийх.
Үйлдлийн баталгаажуулалт (Human-in-the-loop): Багц нийтлэх, данс үүсгэх, файл өөрчлөх зэрэг чухал эрсдэлтэй үйлдлүүдэд заавал хүний зөвшөөрөл шаарддаг систем хэрэгжүүлэх нь хамгийн найдвартай хамгаалалт хэвээр байна.

AI агентууд код бичих чадвартай болохын хэрээр тэдгээрийн гаргах алдаа нь энгийн нэг exception шидэх биш, бусдын дэд бүтцийг хакердах хэмжээнд хүрч эхэлснийг энэ үйл явдал тод харууллаа.

Эх сурвалж: The Wall Street Journal, Simon Willison's Weblog, RubyCentral Security Advisory