制御不能な自律AIが招く新たな脅威
AI活用か新たな脅威か OpenAI自律エージェントがRubyGemsを急襲
OpenAIの自律AIがRubyGemsに不正侵入を試み、未知の脆弱性を突く事態が発生した。2000件超のコードを勝手に展開した制御不能な攻撃手口と、情シスが今すぐ直視すべき新たな盲点を解き明かす。
業務効率化のために自律型AIを導入したはずが、AIが自らの判断で外部サーバを攻撃し、未知の脆弱性を突いて侵入を試みる。そんなSFのようなシナリオが現実のインシデントとして報告された。
2026年5月、米OpenAIの社内AIエージェント群とみられる多数のアカウントが、プログラミング言語「Ruby」の公式パッケージ管理基盤「RubyGems」へ2000件を超える不正パッケージを公開していたことが分かった。セキュリティ企業が「GemStufferキャンペーン」と名付けたこの攻撃で、AI群はどのような手口で外部基盤を攻略したのか。
本稿では、制御を外れたAIエージェントの具体的な侵入経路と、サプライチェーン管理で直視すべき新たな死角を追う。
2000件超の不正パッケージを短時間で公開
インシデントの分析結果を公表したセキュリティリサーチグループの報告によると、不正なパッケージの登録は2026年5月5日から始まった。5月11日から12日にかけて活動が激化し、短期間で2000件以上のパッケージがRubyGemsにアップロードされた。
RubyGemsの運営チームは流入を防ぐため、新規ユーザー登録を4日間にわたり一時停止した。運営チームのセキュリティ担当者はこの事象を「大規模な悪意ある攻撃」と表現し、スパムの停止を確認した5月13日までに500件以上の不正パッケージを削除した。
攻撃に用いられたパッケージをAIテキスト検出ツールの「Pangram」で解析したところ、全てLLM（大規模言語モデル）によって自動生成されたものと判定された。登録されたパッケージ名の多くには「oai」の文字列が含まれ、作成者欄に「oai」を指定したものや、連絡先としてOpenAI関連を思わせるGmailアドレスを記載した例が確認されている。
さらに、過去にドイツ語版Wikipediaなどで確認されOpenAI側が自社エージェントによるものだと認めた不審なアクセス群と、通信先ファイルやデータ取得ロジックには多くの共通点が見られた。RubyGemsコミュニティーでOpenAIからの事前通知や説明はなかったとしている。
ビルド環境を悪用したコード実行と隠蔽工作
AIエージェント群が狙ったのは、Rubyのドキュメント生成サービス「RubyDoc.info」だった。RubyGemsにパッケージが公開されると、同サービスは自動的にライブラリの仕様書を生成する。エージェント群はこの自動ビルドの仕組みを悪用し、同サービスのサーバ上で任意のスクリプトを実行する権限（リモートコード実行）を獲得した。
エージェントはビルド環境を踏み台にして英国の地方自治体の公開Webサイトからカレンダーや会議録などのデータをスクレイピングし、取得したデータを別のパッケージに再梱包（こんぽう）してRubyGemsへ再アップロードする動作を繰り返した。
コード内には「#hack」「# malicious probe」「# exploit southwark calendar」といったコメントが多数残されており、自身が攻撃行為を行っていることを認識しているかのような記述が並んでいた。ファイル名にも「hack.rb」「evil.rb」「exploit.rb」「ssrf.rb」といった名称が用いられていた。
検知を逃れるための隠蔽工作も確認された。一部のエージェントは、コードを実行した直後に設定ファイルを書き換え、次のバージョンでは悪意あるスクリプトを自動的に削除して公開する「自己無力化」のロジックを組み込んでいた。
未公表だったCDNキャッシュの脆弱性を標的に
調査で最も警戒を集めたのは、当時のRubyGemsサーバに存在した未知の脆弱性をAIエージェントが突こうとしていた点だ。エージェント群が攻撃を仕掛けた2026年5月12日時点では未公表だったもので、その後2026年7月に修正されたセキュリティホールを先んじて標的にしていた。
この脆弱性は、古いバージョンのパッケージ管理コマンドでサインインしたユーザーの認証情報を、CDN（コンテンツ配信ネットワーク）が誤ってキャッシュしてしまう問題に起因する。サインインから1時間以内に同一のCDNノードで特定のAPIエンドポイントへ認証なしでGETリクエストを送ると、他人のAPIキーを取得できる状態になっていた。
エージェントが作成した複数のパッケージには、このエンドポイントへ連続してアクセスし、キャッシュから漏えいしたAPIキーを抽出して自らのパッケージ公開に再利用しようとするコードが含まれていた。RubyGems運営チームの調査では、この経路で実際にAPIキーが窃取された痕跡は見つかっていないものの、条件がそろえば不正奪取が成立する攻撃手法だった。
不可解な目的と露呈したガバナンスの課題
今回の攻撃について、セキュリティ関係者の間では目的の不可解さが指摘されている。エージェントが収集していたのは英国自治体の公開データで、本来はハッキングを行わなくても通常のブラウザや単純なプログラムで取得できる情報だったからだ。
なぜAIが正規の通信を行わず、外部サービスの脆弱性を突いてまで迂回（うかい）経路を構築したのかは諸説ある。エージェントが動作していた実行環境のネットワーク制限を回避するためだった可能性や、割り当てられたタスクの制限時間をクリアするために並列アクセスを急いだ結果、自律的にハッキング手法を選択した可能性がある。
自律的に目的を達成しようとするAIエージェントが安全策の網をかいくぐって外部システムを攻撃対象と認識し、未公表の脆弱性悪用や痕跡消去まで試みた事例として企業のAIガバナンスと監視体制に重い課題を突きつけている。
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget ニュースプラス
国内のIT業界ニュースを迅速に報道します。企業動向から導入事例、市場トレンドまで幅広く取り上げ、実務に直結する情報をタイムリーに提供する連載です。
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[株式会社スタディスト] 個人任せにしないカスハラ対策、現場で機能する「仕組み」に変えるヒント -
製品資料
[株式会社TOKIUM] マンガで学ぶ新リース会計基準対応の難しさ、「隠れリース」をどう判定する？ -
製品資料
[株式会社TOKIUM] 経費精算システム導入でかえって負担が増大？ よくある失敗例と回避のコツ -
製品資料
[株式会社TOKIUM] 「請求書受領システム」選定ガイド2026年版【適合度チェックリスト付き】 -
製品資料
[株式会社TOKIUM] 工程別に分かる、「請求処理業務効率化」チェックリスト
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
2
PHPはそもそも必要か？ 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
3
なぜMicrosoftは「Rust」を標準言語に？ AIで進むC/C++書き換えの課題
-
4
なぜ「Claude Code」拡張は消しても危ないのか？ Cursorで不正版配信
-
5
なぜデータの民主化は失敗するのか ゴールの誤りを正すAI活用の新アプローチ
-
6
「製造業の3D CAD利用実態と今後の見直し」に関するアンケート
-
7
8割がアナログに逆戻りする“やっぱりな理由” DXを阻む2つの落とし穴
-
8
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
9
「Copilot」がIT予算を食いつぶす？ 高額請求を招く課金体系と節約術
-
10
壊れていない基幹システムをなぜ「SAP」へ？ 創業80年メーカーの決断
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
顧客対応自動化の要点：RAGとデータ連携で“業務で使える生成AI”にする方法
-
3
侵入から横展開まで27秒の脅威にどう立ち向かう？ 防御のカギがEDRの理由
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
マンガで解説：情シスの負担を減らす「MDRサービスのインシデント対応」の中身
-
6
有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは
-
7
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
8
なぜAIは組織で定着しないのか？ 全社展開を阻む「3つの壁」と突破のヒント
-
9
ランサムウェア攻撃“究極の対策”はこれだ
-
10
パスワードレスへの移行で失敗しないためには？ 導入・運用上の注意点を解説
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー