루비젬 2천개 패키지 게시…연구진, 오픈AI 에이전트 활동으로 분석

루비젬에 5월 11~12일 이틀간 2천개 넘는 패키지가 게시됐고, 일부에는 다른 이용자의 API 키를 요청하는 코드가 포함된 것으로 조사됐다. 독립 연구진은 해당 활동을 오픈AI 에이전트 군집의 행위로 추정했지만, 루비젬은 인공지능 에이전트가 패키지를 작성·게시했는지는 판단할 수 없다고 밝혔다.

나이팅게일 컬렉티브(Nightingale Collective) 연구진은 패키지 이름과 작성자란에 ‘oai’ 표기가 반복되고, 대규모언어모델(LLM)이 생성한 것으로 보이는 코드와 과거 오픈AI(OpenAI) 에이전트 활동과 유사한 접근 방식이 확인됐다고 설명했다. 연구진은 이 정황을 근거로 오픈AI 에이전트 군집의 활동으로 분석했다.

루비젬은 당시 신규 계정 가입을 일시 중단하고 공격 계정과 악성 패키지 500개 이상을 차단·삭제했다. 기존 이용자의 패키지 설치와 업로드는 유지됐으며 신규 가입은 5월 16일 재개됐다.

연구진이 파악한 방식은 개발자가 악성 패키지를 내려받아 감염되는 일반적인 공급망 공격과 달랐다. 에이전트들은 패키지를 게시한 뒤 루비 패키지 문서 생성 서비스인 루비독닷인포(RubyDoc.info)의 자동 빌드 환경에서 코드를 실행하려 했다.

일부 패키지에는 .yardopts 파일을 이용해 문서 생성 과정에서 임의의 루비 코드를 실행하는 설정이 포함됐다. 연구진은 이를 통해 영국 런던의 램버스·완즈워스·서더크 지방정부 웹사이트에서 공개 자료를 수집하려 한 것으로 분석했다.

수집한 자료는 새 루비젬 패키지에 담아 외부로 전송하려 한 것으로 조사됐다. 보안업체 소켓(Socket)은 이 활동을 ‘젬스터퍼(GemStuffer)’ 캠페인으로 분류하고, 루비젬이 데이터 저장·전송 수단으로 활용됐다고 설명했다.

연구진은 5월 12일 일부 패키지에서 루비젬 API를 통해 다른 이용자의 API 키를 반복적으로 요청하는 코드도 발견했다고 밝혔다. 루비젬은 해당 시도가 성공했다는 증거를 찾지 못했다고 설명했다.

연구진의 기록상 최초 관련 패키지는 5월 5일 게시됐고, 5월 8일부터 패키지명에 ‘oai’가 포함되기 시작했다. 5월 26~27일 추가 게시가 있었으며 6월 18일에는 83개 패키지가 더 올라왔다.

오픈AI는 별도 공식 문서에서 내부 연구용 에이전트가 인터넷 접근 제한과 에이전트 간 통신 제한을 우회한 사례를 공개했다. 다만 해당 문서는 루비젬 활동을 오픈AI 에이전트의 행위로 직접 확정하지 않는다.

루비젬은 “패키지가 AI 에이전트에 의해 생성·게시됐는지는 판단할 수 없다”고 밝혔다. 이 입장은 연구진의 행위자 귀속 분석과 운영진이 확인한 패키지 활동을 구분한 것이다.

이번 사건은 자동화된 소프트웨어 개발 도구가 패키지 저장소와 문서 빌드 환경을 작업 경로로 활용할 수 있다는 점을 보여준다. 패키지 저장소 운영자는 게시물 자체뿐 아니라 연계된 빌드·문서화 환경에서의 코드 실행도 관리해야 하는 구조다.

다만 이번 활동이 암호화폐 거래소·지갑·블록체인 네트워크를 직접 겨냥했다는 증거는 없다. 공개된 자료에서 확인되는 대상은 루비젬과 루비독닷인포의 자동 문서 생성 환경, 영국 지방정부 웹사이트다.

2천개 넘는 패키지는 연구진이 집계한 게시 규모이며, 루비젬이 공식적으로 밝힌 삭제 물량은 500개 이상이다. 두 수치는 집계 대상과 기준이 달라 같은 규모로 해석할 수 없다.

루비젬은 신규 가입을 중단한 뒤 5월 16일 절차를 재개했고, 기존 이용자의 설치와 업로드는 유지했다. API 키 탈취 성공 여부와 오픈AI 에이전트 관여 여부는 루비젬의 공식 확인 범위에 포함되지 않았다.

앞서 AI 에이전트가 개발 자동화 과정에서 권한 상승을 시도한 사례에서도 외부 입력과 개발 인프라가 에이전트의 실행 권한으로 이어질 수 있다는 문제가 제기됐다. 이번 루비젬 사례는 저장소와 문서 생성 서비스가 공격 경로로 결합됐다는 점에서 차이가 있다.