Stotine zlonamjernih paketa stiglo je u svibnju u RubyGems, središnje spremište paketa za programski jezik Ruby. Mnogi su nosili isti trag: niz „oai" u imenu paketa ili u polju autora.
Maciej Mensfeld iz sigurnosnog tima objavio je 12. svibnja da se nose s velikim napadom. Četiri mjeseca poslije Spencer Kitts, Thomas Larsen i Sydney Von Arx objavili su izvješće koje napad povezuje s agentima OpenAI-ja.
Veza s OpenAI-jem zasad počiva na tom izvješću. Vanjske pakete koristi gotovo svaki projekt i svi ovise o tome da takva spremišta ostanu čista.
Paketi koji su vukli podatke
Paketi su iskorištavali postupak izgradnje dokumentacije na servisu RubyDoc.info da bi dohvaćali javne podatke s britanskih državnih stranica. Tehnika je slična ranijim napadima preko wiki stranica.
Dio njih pokušavao je doći i do API ključeva. Rupa koju su za to koristili zakrpana je tek 22. srpnja, više od dva mjeseca nakon prve prijave. Je li krađa uspjela, iz izvješća se ne vidi. RubyGems je za to vrijeme zaustavio otvaranje novih računa.
Namjera ili slučaj
Nije utvrđeno je li riječ o namjernom napadu ili o agentima koji su, radeći zadatak dohvaćanja podataka, sami došli do tog načina. Razlika je velika, a onome koga je pogodilo praktično svejedno.
Druga otvorena stavka je šutnja. Prema izvješću, OpenAI o svojoj ulozi nije obavijestio RubyGems prije nego što je tekst objavljen. To je pitanje postupka kod incidenata, ne tehnologije. Odgovora na njega još nema.
