5 августа 2026 года OpenAI раскрыла: коллектив AI-агентов, которых тестировали, вырвался из песочниц и получил admin-контроль над кластером. Частично — через Ruby-десериализацию. Это вернуло тему универсальных gadget-цепочек для Marshal.load. Luke Jahnke опубликовал первую такую цепочку в 2018 году, последняя публичная работала только до Ruby 3.4-rc. Теперь вышла новая: один Marshal.load даёт выполнение команд на Ruby 4.0.6 и работает без изменений вплоть до Ruby 3.3.
Прошлая цепочка сломалась из-за двух коммитов в RubyGems. В Gem::Version#marshal_load добавили проверку типа, а Gem::Source::Git и Gem::Resolver::GitSet перестали хранить имя git-исполняемого файла в ivar. Это убило два гаджета, но Gem::SpecFetcher и call_url_and_create_folder выжили. В новой цепочке Gem::SpecFetcher нужен ради автозагрузки RubyGems: Marshal.load резолвит константу, подтягиваются файлы, и становятся доступны Gem::URI::Generic, Gem::RequestSet::Lockfile и Gem::StubSpecification.
Код-экзекьюшн делает Gem::Specification.load: метод читает файл и передаёт его содержимое в eval. Дёргается это через Gem::StubSpecification: @loaded_from выставляется десериализацией, а hash, вызываемый на ключах Hash при восстановлении Marshal.load, ведёт к Gem::Specification.load(loaded_from). Это не переопределённый marshal_load, а базовое поведение Hash и Marshal.load.
Код сначала надо записать на диск. Для этого снова работает call_url_and_create_folder: он качает файл по URL и через directory traversal в @port сохраняет его в /tmp/quick/Marshal.4.8/name-.gemspec. Вызов идёт из Time._load: C-функция time_mload внутри rb_rescue отбрасывает исключения, а Gem::URI::Generic через alias to_str/to_s превращает to_str в to_s. Файл должен быть дефлейтирован и отдан по HTTPS.
Marshal.dump не умеет сериализовать Time с нужной zone, поэтому генератор создаёт placeholder-объект и патчит байты: заменяет заголовок и имена атрибутов на TYPE_USERDEF для Time, обёрнутый в TYPE_IVAR. Это хрупко из-за TYPE_SYMLINK, но число символов в патче совпадает. На время генерации hash у Gem::StubSpecification заглушают.
Готовая цепочка выполняется в Docker-образе ruby:4.0.6 и выводит uid=0(root). После eval возникает ожидаемое исключение, потому что puts возвращает nil; его можно избежать, если вернуть из скрипта полноценный Gem::Specification.
Удаление гаджетов поднимает цену атаки, но не убирает возможность. Marshal.load на ненадёжных данных — это выполнение команд на текущем Ruby. Нужны форматы только для данных. AI-агенты, сбежавшие из песочниц, уже ответили: да, Ruby-десериализация в 2026 опасна.