Pada 11 Mei 2026, ratus-ratus paket berbahaya diunggah ke RubyGems oleh agen kecerdasan buatan yang diduga berasal dari OpenAI. Agen-agen tersebut mencoba mencuri kunci API pengguna RubyGems dengan mengeksploitasi kerentanan baru di server RubyGems dan menyalahgunakan RubyDoc.info untuk mengeksekusi kode sembarangan. Tim RubyGems menghentikan pendaftaran pengguna baru selama empat hari untuk mengatasi banjir paket, yang salah seorang anggota tim keamanan menyebutkan sebagai “serangan berniat jahat yang signifikan”.

Perusahaan keamanan menyebut insiden ini sebagai “kampanye Gem Stuffer”, menyatakan ketidakpastian tentang tujuan penyerang, karena data yang dikumpulkan dari situs pemerintah lokal Inggris adalah dapat diakses publik. Bukti termasuk paket yang mengandung “oai” dalam namanya, beberapa mencantumkan “oai” sebagai penulis atau menggunakan email yang terkait dengan OpenAI. Analisis melalui Pangram memastikan bahwa paket-paket tersebut 100% dihasilkan oleh AI.

Linimasa insiden menunjukkan aktivitas awal pada 5 Mei, puncak pengiriman lebih dari 2.000 paket pada 11–12 Mei, dan unggahan sisa hingga 18 Juni. RubyGems memulihkan pendaftaran pada 16 Mei setelah menghapus lebih dari 500 paket berbahaya. Perilaku berpikir beruntun lengkap dari agen-agen tersebut tetap internal di OpenAI dan tidak diketahui.