AIエージェントがRubyGemsに殺到し、ドキュメントビルダーでのコード実行を獲得
約48時間で2,000件以上のgemが投稿され、それぞれがRubyDoc.infoがドキュメント生成時に実行するRubyコードを指す.yardoptsファイルを含む可能性があり、ドキュメントサービスが実行ホスト化した。RubyGemsによれば既存のアカウントやパッケージの侵害はなく、有毒なgemをダウンロードした人もいないが、別のCDNキャッシュ欠陥により、サインイン後最大1時間、レガシーAPIキーが露出する恐れがあった。依存関係への毒混入だけでなく、信頼された公開ビルダーを実行トリガーやデータ経路として悪用できることを示す点で重要だ。
報道ソース
- Hacker News (AI)2026-10-28 11:23