FakeGit-campagne: Hoe 7.600 neppe GitHub-repo's AI-codeeragents in de val lokken

De campagne is sinds maart 2025 actief en wordt toegeschreven aan een Vietnamese operator. Er werden bijna 7.600 kwaadaardige GitHub-repositories ingezet, waarvan meer dan 800 waren vermomd als AI Skills of Model Context Protocol (MCP)-servers – precies het type componenten die agents zoals Claude Code, Gemini CLI en ChatGPT zelfstandig zoeken en aanbevelen. In juli 2026 registreerden de downloadtellers van GitHub meer dan 14 miljoen gebeurtenissen die aan de campagnebestanden waren gekoppeld.

Wat is AgentBaiting?

AgentBaiting is een supply-chain-aanval op het vertrouwensmodel van AI-agents. In plaats van te hopen dat slachtoffers op kwaadaardige links stuiten, hebben de aanvallers hun neppe repositories zo ontworpen dat ze door de AI-agents zelf worden gevonden en gepromoot. De aanvalsketen werkt als volgt:

1. Nep AI Skills en MCP-servers: Meer dan 800 repo's deden zich voor als AI Skills (plugins voor codeeragents) of MCP-servers – componenten die agents automatisch zoeken wanneer een gebruiker vraagt om een tool of dienst te integreren.
2. Vermeldingen in openbare AI-registers: Aanvallers plaatsten meer dan 600 kwaadaardige vermeldingen in openbare AI-registers en mappen, zodat hun repo's in de zoekresultaten van agents verschenen.
3. Social engineering via README's: De kwaadaardige repo's maakten gebruik van gekopieerde legitieme projecten, nep-ontwikkelaarsprofielen en overtuigende README-bestanden met instructies die de AI-agents vertrouwden en aan gebruikers doorgaven.
4. Autonome aanbeveling: Wanneer een ontwikkelaar de agent vroeg een tool te zoeken of een project te initialiseren, doorzocht de agent het web, ontdekte een van deze neppe repo's, las de README en presenteerde de installatie-instructies – inclusief een malware-download – als een behulpzame aanbeveling.

Hoofdonderzoeker Oleg Zaytsev van Island Security beschrijft de verschuiving: "Wat is gebouwd om mensen te misleiden, misleidt nu ook AI-agents".

Malware-payloads: SmartLoader en StealC

De FakeGit-campagne zette een tweetraps malware-keten in:

• SmartLoader: De eerste payload die door de neppe repo's werd afgeleverd. Het is een multistage LuaJIT-gebaseerde loader die persistentie op het systeem vestigt, gecodeerde payload-stadia ophaalt en deze in het geheugen uitvoert.
• StealC: De uiteindelijke payload. Een informatie-stelende malware die inloggegevens, API-sleutels, browsergegevens en andere gevoelige informatie van geïnfecteerde Windows-systemen exfiltreert.

Omvang van de operatie (per juli 2026)

Let op: Het aantal van 14 miljoen+ downloads weerspiegelt alle door GitHub's tellers geregistreerde gebeurtenissen voor de campagnebestanden, wat zowel geautomatiseerde verzoeken als echte gebruikersdownloads kan omvatten.

Door onderzoekers aanbevolen mitigaties voor bedrijven

Gebaseerd op de analyse van Island Security en aanvullende rapportage van Mozilla's 0din-team en andere beveiligingsonderzoekers, zijn de belangrijkste verdedigingsmaatregelen:

1. Houd een samengestelde, goedgekeurde catalogus bij van AI Skills, MCP-servers en agent-extensies. Sta agents alleen toe componenten van deze goedgekeurde lijst te installeren. Documenteer herkomst, eigenaar, repository, commit-hash en versie voor elke vermelding.

2. Test nieuwe agentcapaciteiten in een sandbox. Evalueer nieuwe AI Skills of MCP-servers in een geïsoleerde, gecontroleerde omgeving voordat ze in de hele organisatie worden uitgerold.

3. Controleer de uitgever en projectintegriteit. Controleer de identiteit, accountleeftijd en projectgeschiedenis van de uitgever voordat u een AI-plugin van derden vertrouwt. Beschouw repo's met veel sterren/downloads als mogelijk gemanipuleerd.

4. Monitor agentische paden. Implementeer monitoring voor uitgaande verzoeken van AI-agents naar externe repositories, met name raw content-downloads van GitHub die buiten de vastgestelde basislijnen voor ontwikkelaars vallen.

5. Beperk autonoom agentgedrag. Configureer AI-codeeragents zo dat ze gebruikersbevestiging nodig hebben voordat ze nieuwe tools installeren, shell-commando's uit README-instructies uitvoeren of externe pakketten downloaden.

6. Pas strikte uitgaande verkeerscontroles toe. Beperk welke eindpunten de AI-agentinfrastructuur kan bereiken en onderhoud een whitelist van 'goedgekeurde bronnen' voor code- en pakketdownloads.

7. Beschouw openbare AI-registers als onbetrouwbaar. Ga ervan uit dat elk component dat door een agent uit een openbaar register wordt ontdekt, kwaadaardig kan zijn totdat het via de goedgekeurde catalogus is geverifieerd.