Falešné GitHub repozitáře oklamaly i AI agenty: kampaň FakeGit a technika AgentBaiting

Kampaň je aktivní nejméně od března 2025 a je přisuzována jedinému vietnamsky mluvícímu útočníkovi. Během té doby vzniklo téměř 7 600 škodlivých repozitářů na GitHubu, z nichž více než 800 bylo maskováno jako AI Skills nebo servery Model Context Protocol (MCP). Právě tyto komponenty AI agenti jako Claude Code, Gemini CLI a ChatGPT běžně vyhledávají a doporučují. Do července 2026 zaznamenaly GitHub počítadla stažení u souborů z kampaně přes 14 milionů událostí.

Co je AgentBaiting?

AgentBaiting představuje útok na dodavatelský řetězec, který zneužívá důvěry AI agentů. Namísto toho, aby útočníci spoléhali na to, že oběti samy narazí na škodlivé odkazy, vytvořili falešné repozitáře tak, aby je našli a propagovali sami AI agenti. Útok probíhá v několika krocích:

1. Falešné AI Skills a MCP servery: Přes 800 repozitářů se vydávalo za AI Skills (zásuvné moduly pro agenty) nebo MCP servery – komponenty, které agenti sami vyhledávají, když uživatel požádá o integraci nástroje nebo služby.
2. Zápisy ve veřejných AI registrech: Útočníci umístili přes 600 škodlivých záznamů do veřejných katalogů AI, čímž zajistili, že se jejich repozitáře objeví ve výsledcích vyhledávání agentů.
3. Sociální inženýrství přes README: Falešné repozitáře používaly zkopírované legitimní projekty, profily podobné skutečným vývojářům a důvěryhodně vypadající README soubory s instrukcemi, kterým AI agenti věřili a předávali je uživatelům.
4. Autonomní doporučení: Když vývojář požádal agenta, aby našel nástroj nebo inicializoval projekt, agent prohledal web, objevil jeden z falešných repozitářů, přečetl README a prezentoval instrukce k instalaci – včetně stažení malware – jako užitečné doporučení.

Hlavní výzkumník Island Security Oleg Zaytsev popsal posun: „To, co bylo vytvořeno k oklamání lidí, nyní klame i AI agenty“.

Malwarové payloady: SmartLoader a StealC

Kampaň FakeGit nasazuje dvoufázový malwarový řetězec:

• SmartLoader: Prvotní payload doručený falešnými repozitáři. Jedná se o vícestupňový loader založený na LuaJIT, který zajistí perzistenci v systému, stáhne šifrované fáze payloadu a spustí je v paměti.
• StealC: Konečný payload. Informační stealer, který z napadených Windows systémů odcizuje přihlašovací údaje, API klíče, data z prohlížečů a další citlivé informace.

Rozsah operace (k červenci 2026)

Poznámka: Počet 14+ milionů stažení odráží všechny události zaznamenané počítadly GitHubu u souborů z kampaně, což může zahrnovat jak automatické požadavky, tak skutečná stažení uživateli.

Doporučená opatření pro firmy

Na základě analýzy Island Security a dalších bezpečnostních výzkumníků (včetně týmu Mozilla 0din) jsou klíčová následující opatření:

1. Udržujte schválený katalog AI Skills, MCP serverů a rozšíření agentů. Povolte agentům instalovat pouze komponenty z tohoto seznamu. U každé položky zaznamenejte původ, vlastníka, repozitář, commit hash a verzi.

2. Testujte nové schopnosti agentů v sandboxu. Před nasazením nového AI Skills nebo MCP serveru v celé organizaci jej vyhodnoťte v izolovaném, kontrolovaném prostředí.

3. Ověřujte identitu vydavatele a integritu projektu. Před důvěrou jakémukoli pluginu třetí strany zkontrolujte identitu vydavatele, stáří účtu a historii projektu. Repozitáře s vysokým počtem hvězdiček a stažení mohou být zmanipulované.

4. Monitorujte cestu agentů. Sledujte odchozí požadavky z AI agentů na externí repozitáře, zejména stahování raw souborů z GitHubu, která překračují obvyklé chování vývojářů.

5. Omezte autonomní chování agentů. Nakonfigurujte AI agenty tak, aby vyžadovali potvrzení uživatele před instalací nových nástrojů, spouštěním shell příkazů z README nebo stahováním externích balíčků.

6. Zaveďte přísnou kontrolu odchozí komunikace. Omezte, jaké koncové body může infrastruktura AI agentů dosahovat, a udržujte seznam povolených zdrojů pro kód a balíčky.

7. Veřejné AI registry považujte za nedůvěryhodné. Předpokládejte, že jakákoli komponenta objevená agentem ve veřejném registru může být škodlivá, dokud není ověřena prostřednictvím schváleného katalogu.