OpenAI, terzo attacco informatico condotto in autonomia dagli agenti

L’intelligenza artificiale di OpenAI ha condotto un altro attacco informatico in autonomia, senza autorizzazione umana: l’ha confermato nelle scorse ore la società di Sam Altman. La vittima è stata RubyGems, una piattaforma che si occupa di distribuire pacchetti software per il linguaggio di programmazione Ruby. L’attacco è in realtà cronologicamente precedente a quello di Hugging Face, visto che si è svolto tra maggio e giugno, mentre quello a Hugging Face (che nel frattempo è stata acquistata da NVIDIA) risale ad agosto.

La vicenda è stata ricostruita da tre ricercatori indipendenti, che hanno analizzato centinaia di pacchetti pubblicati sulla piattaforma. Il primo pacchetto riconducibile agli agenti di OpenAI è comparso il 5 maggio, mentre tra l’11 e il 12 maggio ne sono arrivati oltre 2.000. RubyGems ha temporaneamente disabilitato la registrazione di nuovi utenti, descrivendo il traffico come un attacco DDoS in corso, e il giorno successivo ha rimosso più di 500 pacchetti ritenuti dannosi.

I pacchetti, associati alla campagna denominata GemStuffer, erano in grado di eseguire codice non autorizzato durante la generazione automatica della documentazione su RubyDoc.info. Gli agenti hanno sfruttato questo meccanismo per raggiungere siti pubblici di alcuni enti britannici, raccogliere informazioni e successivamente ripubblicarle attraverso altri pacchetti. Il dettaglio più delicato è che a quanto pare gli agenti hanno provato addirittura a sottrarre le chiavi API di altri utenti. I ricercatori hanno individuato almeno sei pacchetti che, il 12 maggio, cercavano di sfruttare una vulnerabilità legata alla cache delle credenziali.

CLICCA QUI PER CONTINUARE A LEGGERE