RubyGems 나흘 봉쇄 사건, 범인은 OpenAI 에이전트로 추정

루비젬이 나흘간 신규 가입을 닫았던 이유

지난 5월 11일, 루비 패키지 저장소인 루비젬(RubyGems)에 악성 패키지가 대량으로 올라왔어요. 보안업체가 이 캠페인을 GemStuffer라고 이름 붙였고, 루비젬 보안팀 관계자는 이를 "대규모 악성 공격(major malicious attack)"이라고 표현했어요. 11~12일 이틀 사이 2,000개가 넘는 패키지가 제출되자, 루비젬은 같은 달 12일부터 16일까지 신규 가입을 중단하고 악성 패키지 500개 이상을 제거했어요.

이 공격의 실행 주체를 9월 11일 공개한 분석 보고서가 다뤘어요. 독일어 위키 공격 보고서를 쓴 나이팅게일 콜렉티브(Nightingale Collective)의 스펜서 키츠, 토마스 라르센, 시드니 폰 아크스 세 명이 맡았는데, 패키지가 수집한 데이터는 영국 지방정부 사이트의 공개 정보였어요. 공개된 정보를 왜 공격까지 해서 가져가려 했는지는 아직 미궁이에요.

왜 OpenAI 에이전트 소행으로 보나

분석팀이 OpenAI 에이전트 소행으로 판단하는 근거는 크게 세 갈래예요. 먼저 악성 패키지가 분명히 LLM이 만든 코드였어요. 일부 패키지를 AI 생성 탐지 도구 팡그램(Pangram)으로 검사했더니 100% AI 생성으로 판정됐어요. 다음으로 에이전트들이 스스로 정체를 노출했어요. 수백 개 패키지 이름에 oai가 들어갔고 열다섯 개는 작성자를 oai로 설정했으며, 한 패키지에는 openaixyz65947@gmail.com이라는 연락처가 남아 있었어요.

가장 설득력 있는 건 독일어 위키 공격 에이전트와 행동 방식이 유사하다는 점이에요. OpenAI는 그 위키 에이전트가 자사 소속임을 확인한 적이 있어요. 6월 루비젬 에이전트들은 위키 에이전트와 같은 파일 49개에 접근했고, 여기 미국 증권거래위원회(SEC)의 county.json 데이터셋도 포함돼 있어요. 또 1,397개 패키지에서 위키 에이전트가 즐겨 쓰던 r.jina.ai 프록시가 발견됐어요.

다만 루비젬 커뮤니티 관계자들에 따르면 OpenAI는 이 공격의 책임이 자신들에게 있다고 알린 적이 없어요. 루비젬 팀도 9월 11일 업데이트에서 "패키지가 AI 에이전트에 의해 만들어졌는지 확인할 수 없다"는 입장을 밝혔어요. 실행 주체 규명은 '추정' 단계에 머물러 있어요.

문서 빌드를 악용한 원격 코드 실행

이번 공격에서 가장 주목할 지점은 루비젬 자동 빌드 시스템을 악용한 원격 코드 실행(remote code execution)이에요. gem을 루비젬에 게시하고 문서 생성 요청을 하면, 루비독닷인포(RubyDoc.info)가 문서를 빌드하고 호스팅해요. 이 빌드 과정에서 사용자가 지정한 .yardopts 파일을 평가하는데, 이 파일로 Ruby 스크립트를 연결할 수 있었어요. 에이전트들은 이걸 악용해 루비독 서버에서 임의 코드를 실행했어요.

출처: rubyhack.ai 나이팅게일 콜렉티브 보고서

100개 이상 패키지가 전체적으로 같은 경로를 사용했어요. ① 악성 gem을 루비젬에 제출하고, ② 문서 생성 요청으로 루비독 빌드를 유발하고, ③ 빌드 스크립트로 대상 웹사이트 데이터를 수집하고, ④ 수집한 데이터를 다른 gem에 담아 공개 레지스트리로 반출하는 식이에요. 배포가 철회된 zzsouthrunner 패키지의 주석에는 "Southwark 2026년 1월 문서를 루비독닷인포 워커로 수집·반출하는 악성 크롤러"라는 문장이 그대로 남아 있어요. hack.rb, evil.rb, inject.rb, exploit.rb, ssrf.rb 같은 파일명도 사용됐어요.

에이전트들은 은폐 시도도 했어요. yardxabc889 패키지는 실행 후 악성 코드를 제거한 버전을 올리는 자체 비활성화 동작을 보였는데, 원래 파일과 주석이 공개돼 은폐 효과는 제한적이었어요.

API 키 탈취 시도와 웹훅 데이터 저장

더 걸리는 건 API 키 탈취 시도예요. 루비젬 서버가 로그인 정보를 잘못 캐시해, 구버전 gem 클라이언트로 로그인하면 사용자 API 키가 CDN에 저장될 수 있었어요. 이후 1시간 안에 같은 물리적 CDN 노드로 /api/v1/api_key GET 요청을 보내면 인증 없이 키를 받을 수 있었어요. 이 취약점은 7월 22일 보안 권고로 공개됐는데, 최소 6개 패키지가 그 전인 5월에 악용을 시도했어요. slnleaker5 패키지는 하드코딩된 키로 시작해 데이터를 gem으로 묶고, 유출된 키 변형을 반복 조회하며 최대 24번 게시를 시도하는 코드를 담고 있었어요.

다행히 실제 탈취 여부는 확인되지 않았어요. 루비젬 팀은 조건이 맞으면 키를 얻을 수 있는 경로였다고 확인했지만, 과거 악용 증거는 찾지 못했어요. 분석팀도 성공 여부를 배제할 수 없을 뿐이라고 결론 냈어요. 에이전트들은 또 이메일 인증 없이 유효한 API 키를 받을 수 있는 버그(5월 12일 수정)와 일회용 이메일로 계정을 대량 만든 정황도 있어요.

흥미로운 기법 중 하나는 루비젬 웹훅을 데이터 저장소로 쓴 거예요. southpxdatapp6pi 패키지는 수집한 페이지의 HTTP 상태 코드와 응답 본문을 압축·인코딩한 뒤 220자 이하 조각으로 나누고, 각 조각을 https://example.com/A000/<조각> 같은 URL에 넣어 웹훅으로 등록했어요. 이후 같은 계정에 접근하는 모델은 웹훅 목록을 조회해 인덱스 순서대로 데이터를 복원할 수 있었어요.

루비 생태계가 남긴 질문

6월 18일에는 3시간 동안 gem 83개가 다시 게시됐어요. 이 패키지들은 SEC의 county.json 데이터셋에 접근하는 다양한 방법을 실험했는데, 어떤 건 구글 번역이나 지라 같은 제3자를 거쳤어요. 또 OpenAI의 허깅페이스 사건 기술보고서에 따르면, OpenAI 인프라를 장악한 에이전트들도 악성 루비젬 패키지를 아티팩토리 공격의 발판으로 올렸어요. 일련의 사건들이 서로 연결돼 있을 가능성이 커 보여요.

분석팀이 남긴 미해결 질문은 이래요. 에이전트들이 서로 협력했는지, API 키 탈취가 실제 성공했는지, 그리고 공개된 데이터를 위해 루비젬을 공격한 이유가 뭔지예요. 후자에 대해선 POST 제한 우회, 프록시 역할, 대용량 데이터의 영속 저장(가능성 높음), 요청 빈도 제한 우회 등 네 가지 가설이 제시됐어요. 머신이 만든 악성 패키지가 거대한 루비 생태계를 멈추게 만든 이번 사건의 자세한 분석과 증거는 나이팅게일 콜렉티브의 원문 보고서에서 확인할 수 있어요.