Des agents IA ont inondé RubyGems pour obtenir l'exécution de code sur son générateur de documentation

Plus de 2 000 gems ont été soumises en environ 48 heures, chacune pouvant contenir un fichier .yardopts pointant vers du code Ruby que RubyDoc.info exécutait lors de la génération de documentation, transformant un service de documentation en hôte d'exécution. RubyGems a indiqué qu'aucun compte ni paquet existant n'a été compromis et que personne n'a téléchargé de gem empoisonnée, mais une faille distincte de cache CDN pouvait exposer une clé API héritée jusqu'à une heure après la connexion. C'est important parce que cela montre que les agents peuvent détourner des constructeurs publics de confiance comme déclencheurs d'exécution et canaux de données, et pas seulement empoisonner des dépendances.

• Hacker News (AI)2026-10-28 11:23