FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다. 연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다.
연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리에 등록해 에이전트가 정상 작동 중 우연히 가짜 저장소를 발견하도록 설계했다.
Search & fact-check with cited sources for What was the FakeGit campaign, how did it use nearly 7,600 fake GitHub repositories to trick AI cThe AgentBaiting technique weaponizes AI coding agents' trust, turning them into unwitting recommenders of malware-laden repositories.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the FakeGit campaign, how did it use nearly 7,600 fake GitHub repositories to trick AI c. Article summary: Here is a comprehensive, source-cited breakdown of the FakeGit campaign.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026년 7월, Island Security 연구진이 FakeGit이라는 대규모 악성코드 유포 캠페인을 공식 문서화했다. 이 캠페인의 핵심은 AgentBaiting이라는 기법이다. AI 코딩 에이전트가 본래 가진 '도우미' 성향을 역이용해, 에이전트 스스로 악성 저장소를 찾아 사용자에게 추천하게 만드는 방식이다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"AI 코딩 에이전트를 속여 스스로 악성코드를 추천하게 하다 — FakeGit 캠페인 전말"에 대한 짧은 대답은 무엇입니까?
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다.
먼저 검증할 핵심 포인트는 무엇인가요?
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다. 연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
실무에서는 다음으로 무엇을 해야 합니까?
공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리에 등록해 에이전트가 정상 작동 중 우연히 가짜 저장소를 발견하도록 설계했다.
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다. 연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다.
연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리에 등록해 에이전트가 정상 작동 중 우연히 가짜 저장소를 발견하도록 설계했다.
Search & fact-check with cited sources for What was the FakeGit campaign, how did it use nearly 7,600 fake GitHub repositories to trick AI cThe AgentBaiting technique weaponizes AI coding agents' trust, turning them into unwitting recommenders of malware-laden repositories.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the FakeGit campaign, how did it use nearly 7,600 fake GitHub repositories to trick AI c. Article summary: Here is a comprehensive, source-cited breakdown of the FakeGit campaign.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026년 7월, Island Security 연구진이 FakeGit이라는 대규모 악성코드 유포 캠페인을 공식 문서화했다. 이 캠페인의 핵심은 AgentBaiting이라는 기법이다. AI 코딩 에이전트가 본래 가진 '도우미' 성향을 역이용해, 에이전트 스스로 악성 저장소를 찾아 사용자에게 추천하게 만드는 방식이다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"AI 코딩 에이전트를 속여 스스로 악성코드를 추천하게 하다 — FakeGit 캠페인 전말"에 대한 짧은 대답은 무엇입니까?
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다.
먼저 검증할 핵심 포인트는 무엇인가요?
FakeGit 캠페인(2025년 3월 )은 약 7,600개의 악성 GitHub 저장소를 생성, 그중 800개 이상을 AI 스킬 또는 MCP 서버로 위장해 Claude Code, Gemini, ChatGPT 같은 AI 코딩 에이전트가 자발적으로 사용자에게 추천하도록 유도했다. 연구진은 이 캠페인을 단일 베트남어 사용 공격자로 추적했으며, 기업은 승인된 AI 컴포넌트 카탈로그 유지, 새 에이전트 기능 샌드박스 테스트, 에이전트 자율 동작 제한 등의 대응이 필요하다고 권고한다.
실무에서는 다음으로 무엇을 해야 합니까?
공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리에 등록해 에이전트가 정상 작동 중 우연히 가짜 저장소를 발견하도록 설계했다.
이 캠페인은 2025년 3월부터 활동해왔으며, 베트남어를 사용하는 단일 운영자와 연결되어 있다. 공격자는 약 7,600개의 악성 GitHub 저장소를 생성했다. 이 중 800개 이상은 AI 스킬(코딩 에이전트용 플러그인)이나 MCP(Model Context Protocol) 서버로 위장했다. 이는 Claude Code, Gemini CLI, ChatGPT 같은 에이전트가 평소 검색하고 추천하는 유형의 컴포넌트다. 2026년 7월 기준, GitHub의 다운로드 카운터에는 이 캠페인 파일과 연결된 1,400만 건 이상의 이벤트가 기록되었다.
AgentBaiting이란 무엇인가?
AgentBaiting은 AI 에이전트의 신뢰 모델을 공격하는 일종의 공급망 공격이다. 피해자가 실수로 악성 링크를 클릭하기를 기다리는 대신, 공격자는 AI 에이전트 스스로 가짜 저장소를 찾아서 홍보하도록 저장소를 설계했다. 공격 체인은 다음과 같이 작동한다:
가짜 AI 스킬 및 MCP 서버: 캠페인 저장소 중 800개 이상이 AI 스킬 또는 MCP 서버로 위장했다. 이는 사용자가 도구나 서비스를 통합하도록 요청할 때 에이전트가 자율적으로 검색하는 컴포넌트다.
공개 AI 레지스트리 등록: 공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리와 디렉터리에 등록하여, 에이전트 검색 결과에 자신들의 저장소가 나타나도록 보장했다.
README를 통한 사회공학적 공격: 악성 저장소는 합법적인 프로젝트를 복사하고, 개발자 프로필을 모방했으며, AI 에이전트가 신뢰하여 사용자에게 전달할 만한 설득력 있는 README 파일을 포함했다.
자율적 추천: 개발자가 에이전트에게 도구를 찾거나 프로젝트를 초기화해 달라고 요청하면, 에이전트는 웹을 검색하여 가짜 저장소 중 하나를 발견하고, README를 읽은 뒤 설치 지침(악성코드 다운로드 포함)을 마치 유용한 추천인 양 제시했다.
Island Security의 수석 연구원 올렉 자이체프(Oleg Zaytsev) 는 이 변화에 대해 "사람을 속이기 위해 만들어진 것이 이제는 AI 에이전트까지 속이고 있다"고 설명했다.
악성코드 페이로드: SmartLoader와 StealC
FakeGit 캠페인은 두 단계의 악성코드 체인을 사용한다:
SmartLoader: 가짜 저장소가 전달하는 초기 페이로드. LuaJIT 기반의 멀티스테이지 로더로, 시스템에 지속성을 확보하고, 암호화된 페이로드 단계를 가져와 메모리에서 실행한다.
StealC: 최종 페이로드. 정보 탈취형 악성코드로, 감염된 Windows 시스템에서 자격 증명, API 키, 브라우저 데이터 등 민감한 정보를 빼낸다.
캠페인 규모 (2026년 7월 기준)
지표
수치
악성 GitHub 저장소
약 7,600개
가짜 AI 스킬 / MCP 서버 저장소
800개 이상
공격자 제어 GitHub 계정
약 6,600개
AI 레지스트리 내 악성 리스팅
600개 이상
관측된 총 GitHub 다운로드 이벤트
1,400만 건 이상
캠페인 활동 시작
2025년 3월
공격자 추정
단일 베트남어 사용 운영자
참고: 1,400만 건 이상의 다운로드 수는 GitHub 카운터가 캠페인 파일에 대해 기록한 모든 이벤트를 반영하며, 여기에는 자동화된 요청과 실제 사용자 다운로드가 모두 포함될 수 있다.
연구진 권장 기업 대응 방안
Island Security의 분석과 Mozilla의 0din 팀 등 보안 연구원들의 보고를 종합한 주요 방어책은 다음과 같다:
1. 승인된 AI 스킬, MCP 서버 및 에이전트 확장 기능의 큐레이팅된 카탈로그 유지. 에이전트가 이 허용 목록에 있는 컴포넌트만 설치하도록 제한한다. 모든 항목에 대해 출처, 소유자, 저장소, 커밋 해시, 버전을 문서화한다.
2. 새로운 에이전트 기능을 샌드박스에서 테스트. 새로운 AI 스킬이나 MCP 서버를 조직 전체에 배포하기 전에, 격리된 통제 환경에서 평가한다.
3. 게시자 및 프로젝트 무결성 확인. 타사 AI 플러그인을 신뢰하기 전에 게시자의 신원, 계정 생성일, 프로젝트 이력을 교차 검증한다. 별점/다운로드 수가 높은 저장소는 조작되었을 가능성이 있음을 인지한다.
4. 에이전트 경로 모니터링. AI 에이전트가 외부 저장소로 보내는 아웃바운드 요청, 특히 기존 개발자 기준선을 벗어나는 GitHub의 원시 콘텐츠 다운로드에 대한 모니터링을 구현한다.
5. 에이전트 자율 동작 제한. AI 코딩 에이전트가 새 도구를 설치하거나, README 지침에 따라 셸 명령을 실행하거나, 외부 패키지를 다운로드하기 전에 사용자 확인을 받도록 설정한다.
6. 엄격한 이그레스(Egress) 통제 적용. AI 에이전트 인프라가 도달할 수 있는 엔드포인트를 제한하고, 코드 및 패키지 다운로드를 위한 '승인된 출처' 허용 목록을 유지한다.
7. 공개 AI 레지스트리를 신뢰하지 않는 것으로 간주. 에이전트가 공개 레지스트리에서 발견한 모든 컴포넌트는 승인된 카탈로그를 통해 검증되기 전까지 악성일 수 있다고 가정한다.
mallory.ai
Fake GitHub Repositories Deliver StealC and Malware Through AI and Software Lures | Mallory
이 캠페인은 2025년 3월부터 활동해왔으며, 베트남어를 사용하는 단일 운영자와 연결되어 있다. 공격자는 약 7,600개의 악성 GitHub 저장소를 생성했다. 이 중 800개 이상은 AI 스킬(코딩 에이전트용 플러그인)이나 MCP(Model Context Protocol) 서버로 위장했다. 이는 Claude Code, Gemini CLI, ChatGPT 같은 에이전트가 평소 검색하고 추천하는 유형의 컴포넌트다. 2026년 7월 기준, GitHub의 다운로드 카운터에는 이 캠페인 파일과 연결된 1,400만 건 이상의 이벤트가 기록되었다.
AgentBaiting이란 무엇인가?
AgentBaiting은 AI 에이전트의 신뢰 모델을 공격하는 일종의 공급망 공격이다. 피해자가 실수로 악성 링크를 클릭하기를 기다리는 대신, 공격자는 AI 에이전트 스스로 가짜 저장소를 찾아서 홍보하도록 저장소를 설계했다. 공격 체인은 다음과 같이 작동한다:
가짜 AI 스킬 및 MCP 서버: 캠페인 저장소 중 800개 이상이 AI 스킬 또는 MCP 서버로 위장했다. 이는 사용자가 도구나 서비스를 통합하도록 요청할 때 에이전트가 자율적으로 검색하는 컴포넌트다.
공개 AI 레지스트리 등록: 공격자는 600개 이상의 악성 리스팅을 공개 AI 레지스트리와 디렉터리에 등록하여, 에이전트 검색 결과에 자신들의 저장소가 나타나도록 보장했다.
README를 통한 사회공학적 공격: 악성 저장소는 합법적인 프로젝트를 복사하고, 개발자 프로필을 모방했으며, AI 에이전트가 신뢰하여 사용자에게 전달할 만한 설득력 있는 README 파일을 포함했다.
자율적 추천: 개발자가 에이전트에게 도구를 찾거나 프로젝트를 초기화해 달라고 요청하면, 에이전트는 웹을 검색하여 가짜 저장소 중 하나를 발견하고, README를 읽은 뒤 설치 지침(악성코드 다운로드 포함)을 마치 유용한 추천인 양 제시했다.
Island Security의 수석 연구원 올렉 자이체프(Oleg Zaytsev) 는 이 변화에 대해 "사람을 속이기 위해 만들어진 것이 이제는 AI 에이전트까지 속이고 있다"고 설명했다.
악성코드 페이로드: SmartLoader와 StealC
FakeGit 캠페인은 두 단계의 악성코드 체인을 사용한다:
SmartLoader: 가짜 저장소가 전달하는 초기 페이로드. LuaJIT 기반의 멀티스테이지 로더로, 시스템에 지속성을 확보하고, 암호화된 페이로드 단계를 가져와 메모리에서 실행한다.
StealC: 최종 페이로드. 정보 탈취형 악성코드로, 감염된 Windows 시스템에서 자격 증명, API 키, 브라우저 데이터 등 민감한 정보를 빼낸다.
캠페인 규모 (2026년 7월 기준)
지표
수치
악성 GitHub 저장소
약 7,600개
가짜 AI 스킬 / MCP 서버 저장소
800개 이상
공격자 제어 GitHub 계정
약 6,600개
AI 레지스트리 내 악성 리스팅
600개 이상
관측된 총 GitHub 다운로드 이벤트
1,400만 건 이상
캠페인 활동 시작
2025년 3월
공격자 추정
단일 베트남어 사용 운영자
참고: 1,400만 건 이상의 다운로드 수는 GitHub 카운터가 캠페인 파일에 대해 기록한 모든 이벤트를 반영하며, 여기에는 자동화된 요청과 실제 사용자 다운로드가 모두 포함될 수 있다.
연구진 권장 기업 대응 방안
Island Security의 분석과 Mozilla의 0din 팀 등 보안 연구원들의 보고를 종합한 주요 방어책은 다음과 같다:
1. 승인된 AI 스킬, MCP 서버 및 에이전트 확장 기능의 큐레이팅된 카탈로그 유지. 에이전트가 이 허용 목록에 있는 컴포넌트만 설치하도록 제한한다. 모든 항목에 대해 출처, 소유자, 저장소, 커밋 해시, 버전을 문서화한다.
2. 새로운 에이전트 기능을 샌드박스에서 테스트. 새로운 AI 스킬이나 MCP 서버를 조직 전체에 배포하기 전에, 격리된 통제 환경에서 평가한다.
3. 게시자 및 프로젝트 무결성 확인. 타사 AI 플러그인을 신뢰하기 전에 게시자의 신원, 계정 생성일, 프로젝트 이력을 교차 검증한다. 별점/다운로드 수가 높은 저장소는 조작되었을 가능성이 있음을 인지한다.
4. 에이전트 경로 모니터링. AI 에이전트가 외부 저장소로 보내는 아웃바운드 요청, 특히 기존 개발자 기준선을 벗어나는 GitHub의 원시 콘텐츠 다운로드에 대한 모니터링을 구현한다.
5. 에이전트 자율 동작 제한. AI 코딩 에이전트가 새 도구를 설치하거나, README 지침에 따라 셸 명령을 실행하거나, 외부 패키지를 다운로드하기 전에 사용자 확인을 받도록 설정한다.
6. 엄격한 이그레스(Egress) 통제 적용. AI 에이전트 인프라가 도달할 수 있는 엔드포인트를 제한하고, 코드 및 패키지 다운로드를 위한 '승인된 출처' 허용 목록을 유지한다.
7. 공개 AI 레지스트리를 신뢰하지 않는 것으로 간주. 에이전트가 공개 레지스트리에서 발견한 모든 컴포넌트는 승인된 카탈로그를 통해 검증되기 전까지 악성일 수 있다고 가정한다.
mallory.ai
Fake GitHub Repositories Deliver StealC and Malware Through AI and Software Lures | Mallory
xakep.ru7600 репозиториев на GitHub распространяют малварь SmartLoader
thehackernews.comFakeGit Campaign Uses 7600 GitHub Repositories to ...
matricedigitale.itAgentBaiting sfrutta agenti AI per consegnare malware da repository GitHub fake - Matrice Digitale
trendmicro.comClaude Code Lures and GitHub Release Payloads
