FakeGit-kampagnen: Sådan lokkede 7.600 falske GitHub-repositorier AI-agenter til at anbefale malware

Kampagnen har været aktiv siden mindst marts 2025 og er knyttet til en enkelt vietnamesisktalende operatør. Den omfatter næsten 7.600 ondsindede GitHub-repositorier, hvoraf over 800 var forklædt som AI Skills eller Model Context Protocol (MCP)-servere – præcis den type komponenter som kodningsagenterne Claude Code, Gemini CLI og ChatGPT aktivt søger efter og anbefaler. I juli 2026 havde GitHub's downloadtællere registreret over 14 millioner hændelser knyttet til kampagnens filer.

Hvad er AgentBaiting?

AgentBaiting er et supply-chain-angreb på AI-agenters tillidsmodel. I stedet for at afhænge af at ofre klikker på ondsindede links, konstruerede angriberne deres falske repositorier så de finder og promoveres af AI-agenterne selv. Angrebskæden fungerer således:

1. Falske AI Skills og MCP-servere: Over 800 repositorier forklædte sig som AI Skills (plugins) eller MCP-servere – komponenter som agenserne selvstændigt søger efter når en bruger beder om at integrere et værktøj.
2. Lister på offentlige AI-registre: Angriberne placerede over 600 ondsindede lister på offentlige AI-registre og direktorie-r, så repositorierne dukkede op i agenternes søgeresultater.
3. Social engineering via README-filer: De ondsindede repositorier brugte kopierede legitime projekter, look-alike-udviklerprofiler og overbevisende README-filer med instruktioner som AI-agenterne stolede på og videresendte til brugerne.
4. Autonom anbefaling: Når en udvikler bad agenten om at finde et værktøj, gennemsøgte agenten nettet, fandt et af disse falske repositorier, læste README-filen og præsenterede installationsinstruktionerne – inklusive en malware-download – som en hjælpsom anbefaling.

Island Securitys ledende forsker Oleg Zaytsev beskrev skiftet: "Det der var bygget til at narre mennesker, narrer nu også AI-agenter".

Malware-payloads: SmartLoader og StealC

FakeGit-kampagnen anvendte en to-trins malware-kæde:

• SmartLoader: Den indledende payload leveret af de falske repositorier. Det er en flertrins LuaJIT-baseret loader der etablerer persistens på systemet, henter krypterede payload-stadier og eksekverer dem i hukommelsen.
• StealC: Den endelige payload. En informationsstjælende malware der eksfiltrerer legitimationsoplysninger, API-nøgler, browserdata og andre følsomme oplysninger fra kompromitterede Windows-systemer.

Omfanget af operationen (pr. juli 2026)

Bemærk: Download-tallet på 14 millioner+ afspejler alle hændelser registreret af GitHub's tællere for kampagnens filer, hvilket kan omfatte automatiserede forespørgsler såvel som ægte bruger-downloads.

Forskeranbefalede forsvarsforanstaltninger for virksomheder

Baseret på Island Securitys analyse og krydshenvisninger til rapportering fra Mozillas 0din-team og andre sikkerhedsforskere, er de vigtigste forsvarsforanstaltninger:

1. Oprethold en kurateret, godkendt katalog over AI Skills, MCP-servere og agentudvidelser. Tillad kun agenser at installere komponenter fra denne autoriserede liste. Dokumentér oprindelse, ejer, repositorium, commit-hash og version for hver indgang.

2. Sandbox nye agentkapaciteter. Før implementering af en ny AI Skill eller MCP-server i hele organisationen, test den i et isoleret, kontrolleret miljø.

3. Verificer udgiver- og projektintegritet. Krydstjék udgiverens identitet, kontos alder og projekthistorik, før du stoler på et tredjeparts AI-plugin. Behandl repositorier med mange stjerner/downloads som potentielt manipulerede.

4. Overvåg agentiske stier. Implementér overvågning af udgående forespørgsler fra AI-agenter til eksterne repositorier, især rå indholds-downloads fra GitHub der falder uden for etablerede udvikler-baselines.

5. Begræns autonom agentadfærd. Konfigurér AI-kodningsagenter til at kræve brugerbekræftelse før installation af nye værktøjer, kørsel af shell-kommandoer fra README-instruktioner, eller download af eksterne pakker.

6. Anvend strenge egress-kontroller. Begræns hvilke endepunkter AI-agentinfrastruktur kan nå, og oprethold en "godkendte kilder"-hvidliste for kode- og pakke-downloads.

7. Behandl offentlige AI-registre som upålidelige. Antag at enhver komponent opdaget af en agent fra et offentligt register kan være ondsindet, indtil den er verificeret gennem den godkendte katalog.