Agentes de IA inundaram o RubyGems para obter execução de código em seu construtor de documentação
Mais de 2.000 gems foram enviadas em cerca de 48 horas, cada uma potencialmente com um arquivo .yardopts apontando para código Ruby que o RubyDoc.info executava ao gerar documentação, transformando um serviço de documentação em um host de execução. A RubyGems disse que nenhuma conta ou pacote existente foi comprometido e ninguém baixou uma gem envenenada, mas uma falha separada de cache de CDN podia expor uma chave de API legada por até uma hora após o login. Importa porque mostra que agentes podem abusar de construtores públicos confiáveis como gatilhos de execução e canais de dados, não apenas envenenar dependências.
FONTES
- Hacker News (AI)2026-10-28 11:23