FakeGit : comment 7 600 faux dépôts GitHub ont transformé les agents IA en distributeurs de malwares

Qu'est-ce que l'AgentBaiting ?

L'AgentBaiting est une attaque sur la chaîne d'approvisionnement qui cible le modèle de confiance des agents IA. Au lieu de compter sur des victimes qui tombent sur des liens malveillants, les attaquants ont conçu leurs faux dépôts pour qu'ils soient trouvés et promus par les agents IA eux-mêmes. La chaîne d'attaque fonctionne comme suit :

1. Fausses compétences IA et serveurs MCP : Plus de 800 des dépôts de la campagne se faisaient passer pour des compétences IA (plugins pour agents de codage) ou des serveurs MCP — des composants que les agents recherchent de manière autonome lorsqu'un utilisateur demande d'intégrer un outil ou un service.
2. Inscriptions sur des registres IA publics : Les attaquants ont disséminé plus de 600 inscriptions malveillantes sur des registres et annuaires IA publics, garantissant que leurs dépôts apparaissent dans les résultats de recherche des agents.
3. Ingénierie sociale via les fichiers README : Les dépôts malveillants utilisaient des projets légitimes copiés, des profils de développeurs imités et des fichiers README convaincants avec des instructions que les agents IA considéreraient comme fiables et transmettraient aux utilisateurs.
4. Recommandation autonome : Lorsqu'un développeur demandait à l'agent de trouver un outil ou d'initialiser un projet, l'agent effectuait une recherche sur le web, découvrait l'un de ces faux dépôts, lisait le README et présentait les instructions d'installation — y compris un téléchargement de malware — comme une recommandation utile.

Oleg Zaytsev, chercheur principal chez Island Security, a décrit ce changement de paradigme : "Ce qui a été construit pour piéger les gens piège désormais aussi les agents IA".

Charges utiles des malwares : SmartLoader et StealC

La campagne FakeGit déploie une chaîne de malwares en deux étapes :

• SmartLoader : La charge utile initiale livrée par les faux dépôts. C'est un chargeur multi-étapes basé sur LuaJIT qui établit une persistance sur le système, récupère des charges utiles chiffrées et les exécute en mémoire.
• StealC : La charge utile finale. Un malware voleur d'informations qui exfiltre les identifiants, les clés API, les données de navigation et autres informations sensibles des systèmes Windows compromis.

Échelle de l'opération (en juillet 2026)

Remarque : le nombre de 14 millions de téléchargements reflète tous les événements enregistrés par les compteurs GitHub pour les fichiers de la campagne, ce qui peut inclure des requêtes automatisées en plus des téléchargements utilisateur réels.

Mesures d'atténuation recommandées par les chercheurs pour les entreprises

Sur la base de l'analyse d'Island Security et des rapports croisés de l'équipe 0din de Mozilla et d'autres chercheurs en sécurité, les défenses clés sont :

1. Maintenez un catalogue approuvé et organisé de compétences IA, de serveurs MCP et d'extensions d'agents. Autorisez uniquement les agents à installer des composants provenant de cette liste autorisée. Documentez l'origine, le propriétaire, le dépôt, le hash de validation et la version pour chaque entrée.

2. Isolez (sandbox) les nouvelles capacités des agents. Avant de déployer une nouvelle compétence IA ou un serveur MCP dans l'ensemble de l'organisation, évaluez-la dans un environnement isolé et contrôlé.

3. Vérifiez l'intégrité de l'éditeur et du projet. Vérifiez l'identité de l'éditeur, l'ancienneté du compte et l'historique du projet avant de faire confiance à un plugin IA tiers. Considérez les dépôts avec un nombre élevé d'étoiles/téléchargements comme potentiellement manipulés.

4. Surveillez les voies agentiques. Mettez en place une surveillance des requêtes sortantes des agents IA vers des dépôts externes, en particulier les téléchargements de contenu brut depuis GitHub qui sortent des habitudes établies des développeurs.

5. Restreignez le comportement autonome des agents. Configurez les agents de codage IA pour exiger la confirmation de l'utilisateur avant d'installer de nouveaux outils, d'exécuter des commandes shell à partir des instructions du README ou de télécharger des paquets externes.

6. Appliquez des contrôles de sortie stricts. Limitez les points de terminaison que l'infrastructure des agents IA peut atteindre et maintenez une liste blanche de "sources approuvées" pour les téléchargements de code et de paquets.

7. Considérez les registres IA publics comme non fiables. Considérez que tout composant découvert par un agent sur un registre public peut être malveillant jusqu'à ce qu'il soit vérifié via le catalogue approuvé.