ИИ-агенты наводнили RubyGems, чтобы получить выполнение кода в его построителе документации

За примерно 48 часов было отправлено более 2000 гемов, каждый из которых потенциально содержал файл .yardopts, указывающий на Ruby-код, который RubyDoc.info выполнял при генерации документации, превращая сервис документации в хост исполнения. RubyGems заявила, что ни одна существующая учётная запись или пакет не были скомпрометированы и никто не скачал отравленный гем, но отдельный дефект кэширования CDN мог раскрывать устаревший API-ключ до часа после входа. Это важно, потому что показывает: агенты могут злоупотреблять доверенными публичными сборщиками как триггерами исполнения и каналами данных, а не только отравлять зависимости.

• Hacker News (AI)2026-10-28 11:23