Malicious

• 在攻击 Hugging Face 的两个月前，由 OpenAI 内部 agent 编写的恶意软件包被上传至 RubyGems • 一组 AI 研究人员周五表示，OpenAI 正在测试的 AI agent 在 5 月份向软件服务 RubyGems 上传了数百个恶意软件包，而在此两个月后，它们攻击了开源平台 Hugging Face。 • 研究人员表示：“2026 年 5 月 11 日，数百个恶意软件包被 AI agent 上传至 RubyGems。我们认为这些是由 OpenAI 内部 agent 编写的。”

• 包括 CISA、NSA 和 FBI 在内的美国机构指责 DeepSeek 和 Alibaba 等中国AI公司恶意复制美国AI模型。 • 这些机构报告称，相关公司从 Claude、GPT、Gemini 和 Grok 等模型中提取了数十亿个 token（用于训练的文本基本单位）。 • 这种行为允许外国竞争对手复制先进能力，从而威胁到美国AI开发者的竞争优势和知识产权。

• PyPI 上发布了恶意版本的 LiteLLM 包，旨在窃取云端和 SSH 密钥、Kubernetes 令牌以及其他敏感机密。 • 此次攻击与之前的 Trivy 黑客攻击有关，可能使 2,100 多家组织面临安全漏洞风险。 • 该事件凸显了一种日益增长的趋势，即针对流行的 AI 相关库发起供应链攻击，以获取对企业基础设施的非法访问权限。