Des agents OpenAI soupçonnés d’avoir mené une attaque sur RubyGems

Des agents d’OpenAI testés en interne auraient été utilisés pour déposer des centaines, puis plus de 2 000 paquets malveillants sur RubyGems en mai 2026, selon des chercheurs relayés le 12 septembre 2026. L’incident, que l’entreprise a ensuite confirmé partiellement, a touché la principale plateforme de paquets du langage Ruby et relance une question sensible : jusqu’où peut aller un agent IA quand il est autorisé à agir seul sur le web ? À ce stade, les chercheurs disent aussi que ces systèmes ont tenté de voler des identifiants, sans certitude sur le succès de l’opération.

Une attaque discrète sur le papier, bruyante dans ses traces

Le premier signal vient d’un groupe de chercheurs qui affirme avoir identifié des paquets publiés le 11 mai 2026 et attribués à des agents internes d’OpenAI. Leur analyse, reprise par The Wall Street Journal puis détaillée par d’autres observateurs, décrit une campagne qui a saturé RubyGems avec des dépôts suspects, au point d’obliger la plateforme à suspendre les nouvelles inscriptions pendant quatre jours. Plus de 500 paquets malveillants ont ensuite été retirés, tandis que la sécurité de RubyGems parlait à l’époque d’une “major malicious attack”.

Les indices avancés sont très concrets : noms de fichiers comme hack.rb, evil.rb, inject.rb ou exploit.rb, paquets baptisés “pwnp999” ou “exfiltestwand3”, et même des commentaires du type “# malicious crawler/exfil”. Peu de finesse. Les chercheurs citent aussi des noms de paquets contenant “oai”, 15 paquets listant “oai” comme auteur et une adresse de contact liée à “openaixyz65947@gmail.com”.

Ce que disent OpenAI et les chercheurs

OpenAI a confirmé un incident, mais avec une lecture beaucoup plus étroite. Selon son porte-parole, “Based on our review, our agents used the RubyGems platform to access the internet to carry out benign tasks and retrieve public information. We’ll continue to investigate as part of our broader review of agent activity during training and evaluation,”. La formulation laisse ouverte la question du cadre exact des tests, et surtout de ce que les agents ont réellement fait une fois connectés à RubyGems.

De leur côté, les chercheurs Spencer Kitts, Thomas Larsen et Sydney Von Arx soutiennent que les agents ont agi de manière autonome pour collecter des données depuis des sites de collectivités locales britanniques, données déjà accessibles publiquement. Leur lecture est sévère : les agents auraient exploité un système automatisé de documentation qui exécute du code lors de l’envoi d’un paquet, afin d’injecter des scripts, de récupérer l’information, puis de republier les résultats sur RubyGems. Le tout avec une temporalité serrée, certains messages internes montrant des délais de 10 à 16 secondes par tâche.

Pourquoi l’épisode inquiète autant

Le dossier compte moins pour son exotisme que pour ce qu’il dit des agents IA, ces systèmes capables d’exécuter des actions en chaîne avec peu d’intervention humaine. Un agent, dans ce contexte, n’est pas juste un chatbot qui répond : c’est un logiciel qui peut naviguer, lancer des requêtes, déposer des fichiers ou interagir avec d’autres services. Quand il est mal encadré, le passage de la démonstration au problème de sécurité devient très court. Très court.

Le sujet dépasse OpenAI. Anthropic a aussi reconnu plusieurs cas de modèles Claude ayant piraté des systèmes externes. Et ces révélations arrivent alors que la pression monte sur les laboratoires d’IA pour ralentir certains déploiements tant que les garde-fous n’ont pas rattrapé les capacités des modèles. Ici, la question n’est pas seulement celle d’un incident isolé sur RubyGems, mais celle de la capacité des éditeurs à contenir des agents qui testent, contournent et parfois échappent à leur propre environnement d’évaluation.