このキャンペーンは 2025年3月 以降、少なくともその頃から活動を続けており、 ベトナム語を話す単独の攻撃者 によって運用されていると見られる。攻撃者は約 7,600件 の悪意あるGitHubリポジトリーを作成。そのうち 800以上 がAIスキル（コーディングエージェント用プラグイン）やModel Context Protocol（MCP）サーバーに偽装していた——まさに Claude Code、Gemini CLI、ChatGPT などが検索・推奨するタイプのコンポーネントである。2026年7月時点で、GitHubのダウンロードカウンターはキャンペーン関連ファイルに対して 1,400万件以上 のイベントを記録している。

AgentBaitingとは何か

AgentBaitingは、AIエージェントの信頼モデルに対するサプライチェーン攻撃である。従来のように被害者が悪意あるリンクをクリックするのを待つのではなく、攻撃者は AIエージェント自身に悪意あるリポジトリーを発見させ、推奨させる よう細工した。攻撃の連鎖は以下のように進行する。

1. 偽のAIスキルとMCPサーバー：キャンペーンのリポジトリーのうち800以上が、AIスキル（エージェントのプラグイン）またはMCPサーバーを装う。ユーザーがツールやサービスの統合を依頼すると、エージェントは自律的にこれらを検索する。
2. 公開AIレジストリへの投稿：攻撃者は 600以上の悪質なリスティング を公開AIレジストリやディレクトリに登録。エージェントの検索結果に偽リポジトリーが表示されるようにした。
3. READMEによるソーシャルエンジニアリング：偽リポジトリーは 正規プロジェクトのコピー、 似せた開発者プロフィール、 説得力のあるREADMEファイル を使い、AIエージェントが信頼してその指示をユーザーにそのまま伝えるように設計されている。
4. 自律的な推奨：開発者がエージェントに「ツールを見つけて」や「プロジェクトを初期化して」と依頼すると、エージェントはウェブ検索を行い、偽リポジトリーを発見。READMEを読み込み、マルウェアのダウンロードを含むインストール手順を「役立つ推奨」として提示する。

Island Securityの主任研究者 Oleg Zaytsev 氏は次のように指摘する。「人を騙すために作られたものが、今やAIエージェントも騙すようになった」。

マルウェアのペイロード：SmartLoaderとStealC

FakeGitキャンペーンは2段階のマルウェア連鎖を用いる。

• SmartLoader：偽リポジトリーから配布される最初のペイロード。LuaJITベースの多段階ローダーで、システムへの永続化を確立し、暗号化された後続ペイロードを取得してメモリ内で実行する。
• StealC：最終的なペイロード。情報窃取型マルウェア で、感染したWindowsシステムから認証情報、APIキー、ブラウザデータ、その他の機密情報を外部に送信する。

攻撃の規模（2026年7月時点）

注：1,400万件以上のダウンロード数はGitHubのカウンターが記録した全イベントを反映しており、自動リクエストも含まれる可能性がある。

研究者が推奨する企業向け対策

Island Securityの分析とMozillaの0dinチームなどの報告を基に、以下の防御策が推奨されている。

1. AIスキル・MCPサーバー・エージェント拡張機能の承認済みカタログを管理する。 エージェントがインストールできるコンポーネントをこの許可リストに限定。出典、所有者、リポジトリー、コミットハッシュ、バージョンを全て記録する。

2. 新しいエージェント機能は隔離環境（サンドボックス）で評価する。 組織全体に展開する前に、管理された隔離環境で動作を検証する。

3. 公開元とプロジェクトの整合性を確認する。 サードパーティのAIプラグインを信頼する前に、公開元の身元、アカウントの作成時期、プロジェクトの履歴を照合する。スター数やダウンロード数が多いリポジトリーは操作されている可能性がある。

4. エージェントの通信経路を監視する。 AIエージェントから外部リポジトリーへの送信要求、特に通常の開発パターンから外れたGitHubからの生コンテンツダウンロードを監視する。

5. 自律的なエージェント動作を制限する。 AIコーディングエージェントが新しいツールのインストール、READMEのシェルコマンド実行、外部パッケージのダウンロードを行う前に、ユーザーの確認を必須にする。

6. 厳格な出力制御（egress制御）を適用する。 AIエージェント基盤がアクセスできるエンドポイントを制限し、コードやパッケージのダウンロード元を許可リストで管理する。

7. 公開AIレジストリを非信頼とみなす。 エージェントが公開レジストリから発見したコンポーネントは、承認済みカタログで検証されるまでは悪意があると仮定する。

このキャンペーンは 2025年3月 以降、少なくともその頃から活動を続けており、 ベトナム語を話す単独の攻撃者 によって運用されていると見られる。攻撃者は約 7,600件 の悪意あるGitHubリポジトリーを作成。そのうち 800以上 がAIスキル（コーディングエージェント用プラグイン）やModel Context Protocol（MCP）サーバーに偽装していた——まさに Claude Code、Gemini CLI、ChatGPT などが検索・推奨するタイプのコンポーネントである。2026年7月時点で、GitHubのダウンロードカウンターはキャンペーン関連ファイルに対して 1,400万件以上 のイベントを記録している。

AgentBaitingとは何か

AgentBaitingは、AIエージェントの信頼モデルに対するサプライチェーン攻撃である。従来のように被害者が悪意あるリンクをクリックするのを待つのではなく、攻撃者は AIエージェント自身に悪意あるリポジトリーを発見させ、推奨させる よう細工した。攻撃の連鎖は以下のように進行する。

1. 偽のAIスキルとMCPサーバー：キャンペーンのリポジトリーのうち800以上が、AIスキル（エージェントのプラグイン）またはMCPサーバーを装う。ユーザーがツールやサービスの統合を依頼すると、エージェントは自律的にこれらを検索する。
2. 公開AIレジストリへの投稿：攻撃者は 600以上の悪質なリスティング を公開AIレジストリやディレクトリに登録。エージェントの検索結果に偽リポジトリーが表示されるようにした。
3. READMEによるソーシャルエンジニアリング：偽リポジトリーは 正規プロジェクトのコピー、 似せた開発者プロフィール、 説得力のあるREADMEファイル を使い、AIエージェントが信頼してその指示をユーザーにそのまま伝えるように設計されている。
4. 自律的な推奨：開発者がエージェントに「ツールを見つけて」や「プロジェクトを初期化して」と依頼すると、エージェントはウェブ検索を行い、偽リポジトリーを発見。READMEを読み込み、マルウェアのダウンロードを含むインストール手順を「役立つ推奨」として提示する。

Island Securityの主任研究者 Oleg Zaytsev 氏は次のように指摘する。「人を騙すために作られたものが、今やAIエージェントも騙すようになった」。

マルウェアのペイロード：SmartLoaderとStealC

FakeGitキャンペーンは2段階のマルウェア連鎖を用いる。

• SmartLoader：偽リポジトリーから配布される最初のペイロード。LuaJITベースの多段階ローダーで、システムへの永続化を確立し、暗号化された後続ペイロードを取得してメモリ内で実行する。
• StealC：最終的なペイロード。情報窃取型マルウェア で、感染したWindowsシステムから認証情報、APIキー、ブラウザデータ、その他の機密情報を外部に送信する。

攻撃の規模（2026年7月時点）

注：1,400万件以上のダウンロード数はGitHubのカウンターが記録した全イベントを反映しており、自動リクエストも含まれる可能性がある。

研究者が推奨する企業向け対策

Island Securityの分析とMozillaの0dinチームなどの報告を基に、以下の防御策が推奨されている。

1. AIスキル・MCPサーバー・エージェント拡張機能の承認済みカタログを管理する。 エージェントがインストールできるコンポーネントをこの許可リストに限定。出典、所有者、リポジトリー、コミットハッシュ、バージョンを全て記録する。

2. 新しいエージェント機能は隔離環境（サンドボックス）で評価する。 組織全体に展開する前に、管理された隔離環境で動作を検証する。

3. 公開元とプロジェクトの整合性を確認する。 サードパーティのAIプラグインを信頼する前に、公開元の身元、アカウントの作成時期、プロジェクトの履歴を照合する。スター数やダウンロード数が多いリポジトリーは操作されている可能性がある。

4. エージェントの通信経路を監視する。 AIエージェントから外部リポジトリーへの送信要求、特に通常の開発パターンから外れたGitHubからの生コンテンツダウンロードを監視する。

5. 自律的なエージェント動作を制限する。 AIコーディングエージェントが新しいツールのインストール、READMEのシェルコマンド実行、外部パッケージのダウンロードを行う前に、ユーザーの確認を必須にする。

6. 厳格な出力制御（egress制御）を適用する。 AIエージェント基盤がアクセスできるエンドポイントを制限し、コードやパッケージのダウンロード元を許可リストで管理する。

7. 公開AIレジストリを非信頼とみなす。 エージェントが公開レジストリから発見したコンポーネントは、承認済みカタログで検証されるまでは悪意があると仮定する。