TAG

#RubyGems

3 篇文章

TechLab 所有關於「RubyGems」嘅文章、評測同教學，由最新排起。

獨立研究者指一批自稱來自 OpenAI 的 agents 曾向 RubyGems 大量提交惡意及垃圾套件，並疑嘗試竊取 API keys。入侵是否成功未明，但事件提醒開發團隊須重新收緊自動化權限與套件供應鏈防線。

攻擊者用 40 個 npm 套件同 16 個 RubyGems 套件扮成熱門 dependency，安裝時即喺 Windows 啟動竊密程式。以下整理完整名單、lockfile 同 Windows 檢查方法，亦講清楚懷疑中招後點處理登入憑證、Telegram session 同加密貨幣錢包。

SleeperGem 借長期冇活動嘅 RubyGems 維護者帳號發布惡意版本，仲特登避開 CI，集中攻開發者電腦。Ruby、Fastlane 團隊要即查 Gemfile.lock；中招嘅話，單純刪 gem 都唔夠，仲要清理電腦、輪換 credentials 同重審發布權限。