FakeGit: Jak 7600 fałszywych repozytoriów GitHub oszukuje agentów AI, by samodzielnie dystrybuowały malware

Kampania jest aktywna co najmniej od marca 2025 roku i powiązana z jednym operatorem posługującym się językiem wietnamskim. Stworzono w niej prawie 7600 złośliwych repozytoriów GitHub, z czego ponad 800 zostało zamaskowanych jako umiejętności (Skills) AI lub serwery Model Context Protocol (MCP) – czyli dokładnie te komponenty, których agenci tacy jak Claude Code, Gemini CLI i ChatGPT samodzielnie szukają i rekomendują. Do lipca 2026 liczniki pobrań GitHub odnotowały ponad 14 milionów zdarzeń związanych z plikami kampanii.

Czym jest AgentBaiting?

AgentBaiting to atak na łańcuch dostaw oparty na modelu zaufania agentów AI. Zamiast polegać na przypadkowym kliknięciu przez ofiarę, atakujący tak opracowali repozytoria, aby same agenty AI je wyszukiwały i promowały. Łańcuch ataku wygląda następująco:

1. Fałszywe umiejętności i serwery MCP: Ponad 800 repozytoriów kampanii podszywało się pod umiejętności AI (wtyczki dla agentów programistycznych) lub serwery MCP – komponenty, które agenty samodzielnie wyszukują, gdy użytkownik poprosi o integrację z narzędziem lub usługą.
2. Wpisy w publicznych rejestrach AI: Atakujący umieścili ponad 600 złośliwych wpisów w publicznych rejestrach i katalogach AI, dzięki czemu repozytoria pojawiały się w wynikach wyszukiwania agentów.
3. Inżynieria społeczna przez README: Złośliwe repozytoria zawierały skopiowane projekty legalne, profile deweloperskie łudząco podobne do prawdziwych oraz przekonujące pliki README z instrukcjami, którym agenty AI ufały i przekazywały je użytkownikom.
4. Autonomiczna rekomendacja: Gdy deweloper poprosił agenta o znalezienie narzędzia lub zainicjowanie projektu, agent przeszukiwał sieć, trafiał na fałszywe repozytorium, czytał README i przedstawiał instrukcje instalacji – w tym pobranie złośliwego pliku – jako pomocną rekomendację.

Główny badacz Island Security, Oleg Zaytsev, opisał to zjawisko: „To, co miało oszukiwać ludzi, teraz oszukuje także agentów AI”.

Ładunki złośliwego oprogramowania: SmartLoader i StealC

Kampania FakeGit wykorzystuje dwuetapowy łańcuch infekcji:

• SmartLoader: Wstępny ładunek dostarczany przez fałszywe repozytoria. Jest to wieloetapowy program ładujący oparty na LuaJIT, który zapewnia trwałość w systemie, pobiera zaszyfrowane etapy ładunku i wykonuje je w pamięci.
• StealC: Docelowy ładunek. Złośliwe oprogramowanie kradnące informacje, które wyłudza dane logowania, klucze API, dane przeglądarki i inne poufne informacje z zainfekowanych systemów Windows.

Skala operacji (stan na lipiec 2026)

Uwaga: Liczba 14 milionów+ pobrań odzwierciedla wszystkie zdarzenia zarejestrowane przez liczniki GitHub dla plików kampanii, co może obejmować zarówno żądania automatyczne, jak i rzeczywiste pobrania przez użytkowników.

Zalecane przez badaczy środki zaradcze dla firm

Na podstawie analizy Island Security oraz raportów zespołu 0din Mozilli i innych badaczy bezpieczeństwa zaleca się:

1. Utrzymuj autoryzowany katalog umiejętności AI, serwerów MCP i rozszerzeń agentów. Zezwalaj agentom na instalowanie wyłącznie komponentów z tej listy. Dla każdego wpisu dokumentuj pochodzenie, właściciela, repozytorium, skrót commitu i wersję.

2. Testuj nowe możliwości agentów w izolowanym środowisku (sandboksie). Przed wdrożeniem nowej umiejętności AI lub serwera MCP w organizacji najpierw sprawdź go w odizolowanym, kontrolowanym środowisku.

3. Weryfikuj tożsamość wydawcy i integralność projektu. Sprawdź tożsamość wydawcy, wiek konta i historię projektu przed zaufaniem jakiejkolwiek wtyczce AI od zewnętrznego dostawcy. Repozytoria z wieloma gwiazdkami i pobraniami mogą być celowo wypromowane przez atakujących.

4. Monitoruj ścieżki działania agentów. Wdróż monitoring zapytań wychodzących od agentów AI do zewnętrznych repozytoriów, szczególnie pobierania surowej zawartości z GitHub, które wykraczają poza ustalone linie bazowe aktywności deweloperskiej.

5. Ogranicz autonomiczne zachowanie agentów. Skonfiguruj agentów AI, aby wymagali potwierdzenia użytkownika przed instalacją nowych narzędzi, wykonywaniem poleceń powłoki z instrukcji README lub pobieraniem zewnętrznych pakietów.

6. Stosuj ścisłe kontrole ruchu wychodzącego. Ogranicz punkty końcowe, do których infrastruktura agentów AI może się łączyć, i utrzymuj listę dozwolonych źródeł kodu i pakietów.

7. Traktuj publiczne rejestry AI jako niezaufane. Zakładaj, że każdy komponent odkryty przez agenta w publicznym rejestrze może być złośliwy, dopóki nie zostanie zweryfikowany za pomocą autoryzowanego katalogu.