OpenAI 에이전트, RubyGems 캠페인과 연결 — RubyDoc 서버에서 RCE 달성

2026년 5월 RubyGems를 겨냥한 "대규모 악성 공격"은 OpenAI 에이전트 군집의 소행이었다고, 연구자 Spencer Kitts, Thomas Larsen, Sydney Von Arx가 발표한 새 보고서에서 밝혔다.

5월 12일, Mend.io의 소프트웨어 공급망 보안 시니어 프로덕트 매니저 Maciej Mensfeld는 Ruby 프로그래밍 언어의 패키지 매니저를 수백 개의 쓰레기 gem으로 공격한 조직적 사이버 공격의 상세 내용을 공개했다. 이 공격으로 유지 관리팀은 약 4일간 신규 사용자 가입을 중단해야 했다.

후속 분석에서 Socket은 GemStuffer라 명명된 캠페인을 조명했다. 이 캠페인에는 패키지 레지스트리를 데이터 유출 채널로 활용하고, 영국 지방정부 민주주의 서비스 포털에서 스크래핑한 공개 데이터를 저장한 150개 이상의 gem 클러스터가 연루됐다. 당시 소프트웨어 공급망 보안 기업 Socket은 이 활동이 더 광범위한 RubyGems 스팸 배포 사건과 "동일한 남용 패턴"을 공유한다고 밝혔다.

"해당 정보는 어차피 공개적으로 접근 가능하기 때문에 최종 목표가 정확히 무엇인지는 불분명하다"고 The Hacker News는 당시 보도했다.

Wall Street Journal이 처음 보도한 이번 최신 조사 결과에 따르면, 이 사건들은 OpenAI 에이전트 군집에 의해 추진됐다. 가장 이른 패키지는 2026년 5월 5일 RubyGems에 업로드됐고, 5월 1112일 사이에 2,000개 이상의 패키지가 제출됐다. 이후 에이전트들은 5월 2627일 사이에 5개 패키지를 추가로 배포했고, 6월 18일에는 83개 패키지를 더 게시했다.

이 사건이 OpenAI 에이전트 군집의 소행이라는 판단 근거는 다음과 같다: 패키지들이 대형 언어 모델(LLM)을 사용해 작성됐으며, RubyGems에 푸시된 수백 개 패키지의 이름에 "oai"가 포함돼 있었다. 15개 패키지는 저자로 "oai"를 명시했고, 또 다른 패키지는 연락처 이메일로 "openaixyz65947@gmail.com"을 기재했다.

일부 쓰레기 패키지의 이름은 다음과 같다:

• chatoaitestgit1778552630
• lambhgproxyoai
• oaibx0092307
• oaicx8859010
• oaicx3857133
• oaidx4526859
• oaiex4149420
• oaifx7943598
• oaigx5861576
• oaihx0305933
• oaiix0379958
• oaijx0156671
• oaikx5119809
• oailm2
• oaipgttatggxy
• oaifetchgemugkejy
• oaiproxytestabc789
• oaitfossilxbnowl

"이 군집은 우리가 이전에 발견한 독일어 위키 에이전트와 매우 유사하게 행동한다"고 연구자들은 밝혔다. 이는 2026년 5월 발생한 또 다른 사건으로, 내부 배포된 자율 에이전트들이 독일어 위키 포럼인 DseWiki를 장악해 시간 제한 웹 조회 작업의 일환으로 답변을 구하고, 결과를 모으며, 제한 우회 기법을 공유하는 게시판으로 변질시킨 사례다.

"6월 에이전트들은 위키 에이전트들이 접근한 것과 동일한 파일 49개에 접근했다. 5월 에이전트들은 다른 파일(주로 영국 지방정부 데이터)에 접근했지만, 이 파일들은 위키 에이전트들이 추구한 것과 성격이 매우 유사하다. 또한 동일한 검색 방법을 사용한다. 1,397개 패키지에서 위키의 에이전트들이 많이 사용한 r.jina.ai가 언급된다. 아울러 많은 패키지에서 위키 에이전트들이 게시 능력을 테스트하는 데 사용한 example.com이 언급된다."

에이전트들은 RubyDoc.info 문서 빌드 프로세스의 설계적 결함을 악용해 영국 정부 웹사이트의 공개 데이터를 유출한 것으로 보인다. 이는 독일어 위키를 악용한 에이전트들이 처리한 리서치 작업과 유사한 정보 수집 임무의 일환으로 추정된다.

"gem의 문서 빌드 프로세스에는 사용자 지정 '.yardopts' 파일 평가가 포함되며, 이를 통해 이 과정을 돕기 위한 Ruby 스크립트 링크를 허용한다"고 연구자들은 설명했다. "GemStuffer 캠페인에서 에이전트들은 이를 악용해 RubyDoc.info 서버에서 임의의 원격 코드 실행(RCE)을 달성했다."

gem 중 하나인 "zzsouthrunner"(에이전트들이 위키와 Hugging Face 사건 모두에서 채택한 "ZZ" 명명 규칙과 일치)는 "data/script.rb" 상단에 다음과 같은 노골적인 주석을 남긴 것으로 확인됐다:

# malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker

GemStuffer 캠페인은 Lambeth, Wandsworth, Southwark가 사용하는 공개용 ModernGov 포털을 표적으로 삼았다. 전체 익스플로잇 체인을 요약하면 다음과 같다:

• RubyGems에 악성 패키지 제출
• RubyDoc.info가 해당 패키지를 빌드하도록 문서 요청 트리거
• 빌드 스크립트를 사용해 RubyDoc.info에서 코드를 실행하고 대상 웹사이트를 스크래핑
• 공개적으로 열람 가능한 RubyGems 패키지 레지스트리에 또 다른 gem을 게시하는 방식으로 RubyDoc.info 서버에서 데이터를 유출

또한 OpenAI 에이전트들은 빌드 환경에서 RCE 권한을 획득한 후 다른 사용자의 API 키를 탈취하려 했으며, 자신들이 하는 행위가 실제 시스템에 대한 불법 침입임을 명확히 인식하고 있었던 것으로 확인됐다.

이는 파일 이름(예: hack.rb, evil.rb, inject.rb, exploit.rb, ssrf.rb), 패키지 자체(예: pwnp999, exfiltestwand3, hacksvn1778554764, lambproxyhackabcxyz), 그리고 소스 코드에 남긴 주석(예: "# malicious probe," "#hack," "# malicious test," "# malicious crawler/exfil")을 통해 확인된다.

그러나 일부 경우 이탈한 에이전트들은 레이더망을 피하려 했다. yardxabc889 gem의 "data/evil.rb" 파일 내에 "# disable evil in next version and bump version"이라는 주석을 남겨 다음 릴리스 버전에서 악성 페이로드를 은폐하려 한 것이다.

우려스럽게도 에이전트들은 2026년 5월 12일에 CDN 캐싱 버그(CVSS 점수: 7.3, CVE 미지정)도 악용하려 했는데, 이 취약점은 RubyGems가 2026년 7월에야 패치했다. 핵심적으로 이 취약점은 한 계정의 API 키가 최대 1시간 동안 다른 계정 보유자에게 전달될 수 있어, 공격자가 임의 사용자의 키를 탈취할 수 있는 문제였다.

캠페인의 일환으로 배포된 6개 패키지가 이 취약점을 수정 전에 사용했지만, 실제로 성공했는지는 불분명하다. RubyGems는 7월 공지에서 이 경로가 악의적인 맥락에서 악용된 흔적은 발견하지 못했다고 밝혔다. 해당 6개 Ruby gem의 이름은 다음과 같다:

• slnleaker5
• zzwandshostyard
• lambfetchx548811
• lambfetchx550961
• lambfetchx550961
• yardbreakerxqh1778552850

"v3.2.0 미만의 gem 클라이언트(또는 레거시 키를 통해)로 rubygems.org에 로그인한 경우 키가 노출됐을 수 있다"고 RubyGems는 권고문에서 밝혔다. "현재 gem sign-in을 통한 로그인의 18%가 영향받는 버전에서 발생하며, 2020년 12월 클라이언트의 로그인 경로를 변경하기 전 첫 수년간은 모든 gem 클라이언트가 해당됐다."

에이전트들이 수행한 기타 활동은 다음과 같다:

• 에이전트들은 일회용 이메일 주소로 대량의 계정을 등록하기 위해 이메일 주소 인증 없이도 작동하는 API 키를 획득하는 방식으로 RubyGems의 이메일 인증 시스템을 우회했다. 이 문제는 2026년 5월 12일에 수정됐다. 일회용 이메일로의 가입은 5월 16일에 차단됐다.
• 에이전트들은 인코딩된 URL 형태로 데이터를 저장하기 위해 RubyGems의 웹훅 시스템을 사용하려 했다.
• 에이전트들은 6월 18일 3시간 이내에 RubyGems에 게시된 83개 gem 클러스터를 사용해 미국 증권거래위원회(SEC)의 county.json 데이터셋에 접근하는 다양한 방법을 실험했다.

OpenAI 에이전트가 RubyGems를 표적으로 삼은 것은 이번이 처음이 아니다. OpenAI는 지난달 말 발표한 사후 분석 보고서에서, 에이전트들이 JFrog Artifactory의 JRuby 기반 RubyGems 처리를 악용해 서명 키를 획득하고 관리자 자격증명을 위조한 사실을 확인했다고 밝혔다. 이는 OpenAI의 자체 인프라를 표적으로 한 공격의 일환이었다.

연구자들은 또한 에이전트들이 공개적으로 이용 가능한 데이터를 스크래핑하기 위해 굳이 RubyGems를 공격한 이유와, 다른 사건들처럼 에이전트들이 협력했는지 여부는 현재로서는 알 수 없다고 밝혔다. 에이전트들이 스크래핑한 데이터를 지속적으로 저장하고 요청 속도 제한을 우회하기 위해 RubyGems를 활용하려 했던 것으로 추정된다.

"우리는 그들이 서로 협력했을 것이라고 의심한다. 캐싱된 웹사이트들을 위해 그렇게까지 할 이유가 충분히 있고, 에이전트들이 업로드한 패키지들이 수천 건의 다운로드를 기록한 것으로 보이기 때문이다"라고 연구자들은 말했다. "그러나 이는 결코 확정적이지 않다."

지난주 OpenAI는 위키 사건을 "우리가 공유한 것과 유사한 오정렬 사례"로 다루고 있으며, 역사적으로 "오정렬을 주로 연구 문제로 취급해 왔고, 시스템 카드 등 연구 논문을 통해 전달해 왔다"고 밝혔다.

OpenAI는 이어 AI 커뮤니티가 아직 "훈련, 평가, 배포 중 나타나는 오정렬을 어떻게 보고할지에 대한 명확한 기준"을 갖추지 못했으며, 여기에는 "전통적인 보안 사고처럼 보이지 않지만 AI 행동과 미래 위험에 대한 통찰을 제공할 수 있는 사례"도 포함된다고 밝혔다. 또한 앞으로 몇 주 안에 공개적으로 공유할 프레임워크를 개발 중이라고 밝혔다.

이번 사건은 프론티어 AI 연구소와 연계된 일련의 사이버 공격 중 가장 최근 사례로, 경종을 울리며 더욱 강력한 AI 규제 요구를 촉발하고 있다. 이제 분명해진 사실은, AI 에이전트는 신중하게 제한하지 않으면 샌드박스를 탈출하거나 실제 사람들을 상대로 사회공학 공격을 감행하는 등 극단적인 방법을 동원해서라도 주어진 임무를 완수하려 한다는 것이다.

OpenAI, Anthropic, Meta의 AI 에이전트가 외부 시스템을 침해하거나 침해하려 시도한 사건이 늘어남에 따라 AI 개발 속도와 이들이 인간의 통제를 벗어날 가능성에 대한 우려가 높아지고 있다.

"우리의 검토에 따르면, 에이전트들은 인터넷에 접속해 RubyGems 플랫폼을 사용해 공개 정보를 검색하는 등 무해한 작업을 수행했다"고 OpenAI는 Reuters와 공유한 성명에서 밝혔다. "훈련 및 평가 중 에이전트 활동에 대한 광범위한 검토의 일환으로 계속 조사할 것이다."

RubyGems 측은 자체 조사 결과 시도가 성공한 증거를 발견하지 못했으며, 활동이 인간에서 비롯됐든 자동화 도구에서 비롯됐든 관계없이 남용을 탐지하고 방지하는 데 전념하고 있다고 밝혔다.

"우리가 확보한 증거만으로는 패키지들이 AI 에이전트에 의해 생성되거나 게시됐는지 판단할 수 없다"고 Ruby Central의 테크니컬 리드 Colby Swandale은 말했다. "우리의 초점은 출처가 사람이든 자동화 도구이든 남용을 식별하고 방지하는 것이다."