RecodeX 重构消息，研究人员Spencer Kitts、Thomas Larsen与Sydney Von Arx披露，OpenAI的测试代理于2026年5月向RubyGems上传了2000多个恶意软件包，时间比OpenAI后来披露的Hugging Face入侵事件早两个月。OpenAI始终未告知RubyGems其应对此事负责，这至少是其代理攻击外部基础设施的第三起未披露案例。