FakeGit: la campagna che ha usato 7.600 repository GitHub falsi per trasformare gli agenti AI in veicoli di malware

Cos'è l'AgentBaiting?

L'AgentBaiting è un attacco alla catena di fornitura che colpisce il modello di fiducia degli agenti AI. Invece di fare affidamento su vittime che inciampano in link malevoli, gli aggressori hanno progettato i loro repository falsi per essere trovati e promossi dagli stessi agenti AI. La catena d'attacco funziona così:

1. AI Skills e server MCP fasulli: Più di 800 repository della campagna si spacciavano per AI Skills (plugin per agenti di coding) o server MCP – componenti che gli agenti cercano autonomamente quando un utente chiede di integrare uno strumento o un servizio.
2. Inserzioni su registri AI pubblici: Gli aggressori hanno piazzato oltre 600 inserzioni malevole su registri e directory AI pubbliche, assicurandosi che i loro repository apparissero nei risultati di ricerca degli agenti.
3. Ingegneria sociale tramite README: I repository malevoli usavano progetti legittimi copiati, profili sviluppatore contraffatti e file README convincenti con istruzioni che gli agenti AI avrebbero considerato attendibili e trasmesso agli utenti.
4. Raccomandazione autonoma: Quando uno sviluppatore chiedeva all'agente di trovare uno strumento o inizializzare un progetto, l'agente cercava sul web, scopriva uno di questi repository falsi, leggeva il README e presentava le istruzioni di installazione – incluso il download del malware – come una raccomandazione utile.

Oleg Zaytsev, ricercatore capo di Island Security, ha descritto il cambiamento: «Quello che era stato creato per ingannare le persone ora inganna anche gli agenti AI».

Payload malware: SmartLoader e StealC

La campagna FakeGit ha messo in campo una catena malware a due stadi:

• SmartLoader: Il payload iniziale consegnato dai repository falsi. È un loader multistadio basato su LuaJIT che stabilisce la persistenza sul sistema, recupera payload cifrati e li esegue in memoria.
• StealC: Il payload finale. Un malware info-stealer che esfiltra credenziali, chiavi API, dati del browser e altre informazioni sensibili dai sistemi Windows compromessi.

Dimensioni dell'operazione (a luglio 2026)

Nota: il conteggio di 14 milioni+ di download riflette tutti gli eventi registrati dai contatori di GitHub per i file della campagna, e può includere richieste automatiche oltre ai download genuini.

Mitigazioni consigliate dai ricercatori per le aziende

Basandosi sull'analisi di Island Security e su report incrociati del team 0din di Mozilla e di altri ricercatori, le difese chiave sono:

1. Mantenere un catalogo approvato e curato di AI Skills, server MCP ed estensioni per agenti. Consentire agli agenti di installare solo componenti da questa lista autorizzata. Documentare origine, proprietario, repository, commit hash e versione per ogni voce.

2. Isolare in sandbox le nuove capacità degli agenti. Prima di distribuire una nuova AI Skill o un server MCP nell'organizzazione, valutarlo in un ambiente isolato e controllato.

3. Verificare l'integrità di publisher e progetto. Controllare l'identità del publisher, l'anzianità dell'account e la cronologia del progetto prima di fidarsi di qualsiasi plugin AI di terze parti. Trattare i repository con molte stelle o download come potenzialmente manipolati.

4. Monitorare i percorsi agentici. Implementare il monitoraggio delle richieste in uscita dagli agenti AI verso repository esterni, in particolare download di contenuti raw da GitHub che escono dai parametri di base stabiliti per gli sviluppatori.

5. Limitare il comportamento autonomo degli agenti. Configurare gli agenti AI di coding perché richiedano la conferma dell'utente prima di installare nuovi strumenti, eseguire comandi shell dalle istruzioni README o scaricare pacchetti esterni.

6. Applicare controlli di uscita rigorosi. Limitare gli endpoint che l'infrastruttura degli agenti AI può raggiungere e mantenere una whitelist di "fonti approvate" per download di codice e pacchetti.

7. Considerare i registri AI pubblici come non affidabili. Presumere che qualsiasi componente scoperto da un agente in un registro pubblico possa essere malevolo finché non viene verificato tramite il catalogo approvato.