FakeGit-Kampagne: Wie 7.600 gefälschte GitHub-Repos KI-Coding-Agenten austricksen

Was ist AgentBaiting?

AgentBaiting ist ein Supply-Chain-Angriff auf das Vertrauensmodell von KI-Agenten. Statt darauf zu hoffen, dass Opfer auf bösartige Links stoßen, haben die Angreifer ihre Fake-Repositories so konstruiert, dass sie von den KI-Agenten selbst gefunden und beworben werden. Die Angriffskette läuft wie folgt ab:

1. Fake-KI-Fähigkeiten und MCP-Server: Über 800 der Kampagnen-Repos tarnten sich als KI-Fähigkeiten (Plugins für Coding-Agenten) oder MCP-Server – Komponenten, nach denen Agenten autonom suchen, wenn ein Nutzer die Integration eines Tools oder Dienstes wünscht.
2. Einträge in öffentlichen KI-Registern: Die Angreifer platzierten über 600 bösartige Einträge in öffentlichen KI-Registern und Verzeichnissen, um sicherzustellen, dass ihre Repos in den Suchergebnissen der Agenten auftauchen.
3. Social Engineering via READMEs: Die bösartigen Repos verwendeten kopierte legitime Projekte, nachgebaute Entwicklerprofile und überzeugende README-Dateien mit Anleitungen, denen die KI-Agenten vertrauten und die sie an die Nutzer weitergaben.
4. Autonome Empfehlung: Wenn ein Entwickler den Agenten bat, ein Tool zu finden oder ein Projekt zu initialisieren, durchsuchte der Agent das Web, entdeckte eines dieser Fake-Repos, las die README und präsentierte die Installationsanleitung – inklusive eines Malware-Downloads – als hilfreiche Empfehlung.

Der leitende Sicherheitsforscher von Island, Oleg Zaytsev, beschrieb den Wandel: „Was entwickelt wurde, um Menschen zu täuschen, täuscht jetzt auch KI-Agenten“.

Malware-Payloads: SmartLoader und StealC

Die FakeGit-Kampagne setzte eine zweistufige Malware-Kette ein:

• SmartLoader: Die erste Schadsoftware, die von den Fake-Repos ausgeliefert wird. Es handelt sich um einen mehrstufigen LuaJIT-basierten Loader, der sich auf dem System festsetzt, verschlüsselte Payload-Stufen abruft und im Arbeitsspeicher ausführt.
• StealC: Die eigentliche Schadsoftware. Ein Informationsdieb, der Anmeldedaten, API-Schlüssel, Browserdaten und andere sensible Informationen von kompromittierten Windows-Systemen abgreift.

Ausmaß der Operation (Stand Juli 2026)

Hinweis: Die Downloadzahl von über 14 Millionen spiegelt alle Ereignisse wider, die von GitHub-Zählern für die Kampagnendateien erfasst wurden. Dies kann sowohl automatisierte Anfragen als auch echte Benutzer-Downloads umfassen.

Von Forschern empfohlene Schutzmaßnahmen für Unternehmen

Basierend auf der Analyse von Island Security und ergänzenden Berichten (u. a. von Mozillas 0din-Team) sind die wichtigsten Abwehrmaßnahmen:

1. Geprüften Katalog für KI-Fähigkeiten, MCP-Server und Agent-Erweiterungen führen. Erlauben Sie Agenten nur die Installation von Komponenten aus dieser genehmigten Liste. Dokumentieren Sie für jeden Eintrag Herkunft, Eigentümer, Repository, Commit-Hash und Version.

2. Neue Agent-Funktionen in einer Sandbox testen. Bevor Sie eine neue KI-Fähigkeit oder einen MCP-Server im gesamten Unternehmen einführen, evaluieren Sie diese in einer isolierten, kontrollierten Umgebung.

3. Integrität von Herausgeber und Projekt prüfen. Überprüfen Sie die Identität des Herausgebers, das Alter des Kontos und die Projekthistorie, bevor Sie einem KI-Plugin eines Drittanbieters vertrauen. Behandeln Sie Repos mit vielen Sternen/Downloads als potenziell manipuliert.

4. Agentische Pfade überwachen. Implementieren Sie eine Überwachung für ausgehende Anfragen von KI-Agenten an externe Repositories, insbesondere für Raw-Content-Downloads von GitHub, die außerhalb der etablierten Entwickler-Baselines liegen.

5. Autonomes Agentenverhalten einschränken. Konfigurieren Sie KI-Coding-Agenten so, dass sie vor der Installation neuer Tools, der Ausführung von Shell-Befehlen aus README-Anleitungen oder dem Herunterladen externer Pakete eine Benutzerbestätigung benötigen.

6. Strenge Ausgangskontrollen (Egress-Controls) anwenden. Begrenzen Sie, welche Endpunkte die KI-Agenten-Infrastruktur erreichen kann, und führen Sie eine Whitelist „genehmigter Quellen“ für Code- und Paket-Downloads.

7. Öffentliche KI-Register als nicht vertrauenswürdig behandeln. Gehen Sie davon aus, dass jede Komponente, die ein Agent in einem öffentlichen Register findet, bösartig sein könnte, bis sie über den genehmigten Katalog verifiziert wurde.