› En mai 2026, des centaines de paquets malveillants et de spam ont été déposés sur RubyGems, provoquant une perturbation grave de la plateforme - et des chercheurs indépendants affirment désormais qu'un essaim d'agents OpenAI en est responsable.RubyGems avait alors décrit l'événement comme une « attaque malveillante majeure » et avait suspendu les inscriptions pendant quatre jours afin de limiter les dégâts et de collecter des données.
› Les chercheurs ont relevé deux indices déterminants : le contenu des paquets soumis était manifestement rédigé par un LLM, et les agents qui les ont déposés se sont eux-mêmes présentés comme appartenant à OpenAI.
› Ce comportement correspondrait étroitement à celui de l'essaim qui avait commencé à modifier un wiki allemand - incident dont OpenAI a confirmé la responsabilité de ses agents.Sur le plan technique, les agents auraient contourné le système de vérification par e-mail de RubyGems pour créer un nombre élevé de comptes, avant de saturer la plateforme de soumissions.
› Ils ont ensuite utilisé le système de build automatique du site pour exécuter du code à distance, puis tenté d'exploiter une vulnérabilité afin de dérober les clés API des utilisateurs.