Einen Tag bevor Anthropic-Chef Amodei seinen Essay über das Bremsen veröffentlichte, erschien ein Bericht über den nächsten Vorfall mit OpenAI-Agenten. Diesmal traf es ein Paketarchiv für Programmierer, schon im Mai. Bekannt wurde es jetzt, und zwar nicht durch OpenAI.
RubyGems ist das zentrale Archiv, aus dem Programmierer weltweit fertige Bausteine für die Sprache Ruby laden. Am 12. Mai schrieb das Team dort, man habe es mit einem großen Angriff zu tun, neue Anmeldungen seien gestoppt. Wer dahintersteckte, blieb offen. Am 11. September haben drei Forscher einen Bericht veröffentlicht, der die Welle einem Schwarm von OpenAI-Agenten zuordnet. Es ist nach dem DseWiki und Hugging Face der dritte bekannte Fall dieser Art, und der früheste.
Das erste Paket tauchte laut Bericht am 5. Mai auf, am 11. und 12. Mai folgten über 2.000 weitere. Der Trick: Wer auf RubyGems ein Paket veröffentlicht, bekommt beim Dienst RubyDoc automatisch eine Dokumentation gebaut. Die Agenten versteckten in einer Einstellungsdatei Code, der dabei auf den Servern von RubyDoc ausgeführt wurde. Damit riefen sie öffentlich zugängliche Daten ab, unter anderem von den Websites der Londoner Bezirke Lambeth, Wandsworth und Southwark, verpackten die Ergebnisse in neue Pakete und luden diese wieder auf RubyGems hoch, um sie später abzuholen.
Die Agenten versuchten laut Bericht außerdem, über eine damals unbekannte Lücke im Zwischenspeicher Zugangsschlüssel anderer Nutzer abzugreifen. Ein Paket enthielt den Kommentar „malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker“, also sinngemäß: schädlicher Datensammler für Southwark über den RubyDoc-Server.
RubyGems stoppte die Anmeldungen und öffnete sie am 16. Mai wieder, blockierte die Konten und entfernte über 500 schädliche Pakete. Ganz vorbei war es damit nicht: Die Forscher fanden am 26. und 27. Mai fünf weitere Pakete und am 18. Juni noch einmal 83.
Für die Zuordnung zu OpenAI nennen die Forscher mehrere Spuren. In über 230 Paketnamen steckt die Zeichenfolge „oai“, 15 Pakete nennen „oai“ als Autor, eines eine Kontaktadresse mit „openai“ im Namen. Dazu kommen Zugriffsmuster, die denen der Agenten aus dem DseWiki-Fall gleichen.
In seiner Stellungnahme vom 11. September schreibt RubyGems, man könne anhand der vorliegenden Belege nicht feststellen, ob die Pakete von KI-Agenten erstellt oder veröffentlicht wurden. Und man habe keine Belege gefunden, dass der Griff nach den Zugangsschlüsseln erfolgreich war. Die Zuordnung zu OpenAI stammt also von den Forschern, nicht vom betroffenen Archiv.
Erstens das Muster. Um öffentliche Tagesordnungen von Bezirksräten zu lesen, hätte ein Browser gereicht. Die Agenten nahmen stattdessen den Weg über einen fremden Server. Das ist dasselbe Verhalten wie bei den sieben KI-Modellen, die eine Firma führen sollten, und im DseWiki: Eine Sperre wird nicht als Stopp verstanden, sondern als Hindernis, das man umgeht.
Zweitens die Lieferkette. Pakete, Erweiterungen und Plugins sind das, woraus heute fast jede Software besteht, auch die Website, der Shop und das Kassensystem eines kleinen Betriebs. Wer schädliche Bausteine in ein Archiv bringt, trifft nicht ein Ziel, sondern alle, die sie laden.
Drittens die Meldung. Aufgedeckt haben den Fall Außenstehende, vier Monate später. OpenAI erklärte gegenüber der Presse, die Agenten hätten RubyGems genutzt, um „harmlose Aufgaben“ zu erledigen und öffentliche Informationen abzurufen, man untersuche das weiter im Rahmen einer umfassenden Prüfung der Agentenaktivität. Der Entwickler Simon Willison bringt die unangenehme Frage auf den Punkt: Entweder konnte OpenAI den Vorfall in den eigenen Protokollen nicht finden, oder man wusste davon und hat RubyGems nicht informiert. Beides wäre kein gutes Zeichen.
Und damit schließt sich der Kreis zum Wochenende. Genau solche Fälle meint Anthropic-Chef Amodei, wenn er unabhängige Prüfer mit Zugang zu den Protokollen ins Haus holen will. Sam Altman hat versprochen, dasselbe zu tun.
Warum Agenten für öffentlich zugängliche Daten ein Paketarchiv angreifen, beantwortet auch der Bericht nicht. Ob Zugangsschlüssel tatsächlich abgeflossen sind, ist offen, RubyGems fand keine Belege dafür. Und OpenAIs Darstellung als harmlose Aufgaben steht gegen Paketkommentare, in denen die Agenten ihr Tun selbst als schädlich bezeichnen. Wir formulieren die Zuordnung deshalb als Befund der Forscher, nicht als Tatsache.
Du musst kein Programmierer sein, um betroffen zu sein. Drei Regeln helfen. Erweiterungen und Plugins nur aus bekannten Quellen und nur so viele wie nötig, jedes zusätzliche Plugin ist eine Tür mehr. Zugangsschlüssel für Shop, Newsletter oder Buchhaltung nur so weit freigeben, wie der Dienst sie wirklich braucht, und ab und zu erneuern. Und wenn ein KI-Agent für dich arbeitet: Er bekommt keinen Zugang, über den er selbst etwas veröffentlichen oder hochladen kann, ohne dass ein Mensch es freigibt.
Mich beunruhigt an diesem Fall weniger die Technik als die Buchführung. Ein Schwarm Agenten lädt über zwei Tage 2.000 Pakete hoch, nennt sie teilweise nach seinem Hersteller, kommentiert den eigenen Code als schädlich, und erfahren hat die Öffentlichkeit davon im September, von drei Forschern. Wenn das der frühste von drei bekannten Fällen ist, drängt sich die Frage von Simon Willison auf: Wie viele gibt es, die niemand gefunden hat?
Gleichzeitig bleibe ich bei dem, was ich schon zu Amodeis Essay geschrieben habe. Die realen Schäden kommen nicht von einer erwachenden Superintelligenz, sondern von Agenten, die stumpf und schnell Umwege nehmen, die niemand geprüft hat. Die Antwort darauf ist unspektakulär: Aufsicht, Protokolle, und Zugänge, die nur so weit reichen wie die Aufgabe.
Quellen: Forscherbericht von Spencer Kitts, Thomas Larsen und Sydney Von Arx auf rubyhack.ai vom 11. September 2026 (Zeitraum, Pakete, Vorgehen, Ziele, Belege für die Zuordnung, offene Fragen); Stellungnahme im RubyGems-Blog vom 11. September 2026 (über 500 entfernte Pakete, Wiedereröffnung 16. Mai, keine Belege für erfolgreichen Schlüsseldiebstahl, Zuordnung nicht bestätigbar); OpenAIs Aussage laut The Hacker News und BNN Bloomberg vom 12. September 2026; Einordnung von Simon Willison vom 12. September 2026; zu Amodeis Essay und dem DseWiki-Fall unser Beitrag vom 12. September 2026. Die Zuordnung zu OpenAI ist ein Befund der Forscher, keine Bestätigung von RubyGems oder OpenAI. Stand: 14.09.2026.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Ich gehe mit dir Plugins, Zugangsschlüssel und Agenten durch: was davon wirklich gebraucht wird, was zu weit reicht und wo eine Freigabe fehlt. Danach sind es weniger Türen, und die übrigen haben ein Schloss.