FakeGit-kampanjen: 7 600 falska GitHub-repositorier lurade AI-agenter att distribuera skadlig kod

Aktiv sedan åtminstone mars 2025 och kopplad till en enda vietnamesisktalande operatör, distribuerade kampanjen nästan 7 600 skadliga GitHub-repositorier, varav över 800 var utformade som AI-färdigheter eller Model Context Protocol (MCP)-servrar – exakt den typ av komponenter som agenter som Claude Code, Gemini CLI och ChatGPT söker efter och rekommenderar. Fram till juli 2026 registrerade GitHubs nedräkningsräknare över 14 miljoner händelser kopplade till kampanjfilerna.

Vad är AgentBaiting?

AgentBaiting är en attack mot försörjningskedjan som riktar sig mot AI-agentens förtroendemodell. Istället för att förlita sig på att offer oavsiktligt klickar på skadliga länkar, konstruerade angriparna sina falska repositorier för att hittas och marknadsföras av AI-agenterna själva. Attackkedjan fungerar enligt följande:

1. Falska AI-färdigheter och MCP-servrar: Mer än 800 av kampanjens repositorier maskerade sig som AI-färdigheter (plugin-program för kodningsagenter) eller MCP-servrar – komponenter som agenter självständigt söker efter när en användare ber om att integrera ett verktyg eller en tjänst.
2. Listningar på offentliga AI-register: Angriparna spred över 600 skadliga listningar på offentliga AI-register och kataloger, vilket säkerställde att deras repositorier dök upp i agentsökningsresultat.
3. Social manipulering via README: De skadliga repositorierna använde kopierade legitima projekt, liknande utvecklarprofiler och övertygande README-filer med instruktioner som AI-agenterna skulle lita på och vidarebefordra till användarna.
4. Autonom rekommendation: När en utvecklare bad agenten att hitta ett verktyg eller initiera ett projekt, skulle agenten söka på webben, upptäcka ett av dessa falska repositorier, läsa README och presentera installationsinstruktionerna – inklusive en nedladdning av skadlig kod – som en hjälpsam rekommendation.

Island Securitys ledande forskare Oleg Zaytsev beskrev förändringen: "Det som byggdes för att lura människor lurar nu också AI-agenter".

Skadlig programvara: SmartLoader och StealC

FakeGit-kampanjen använde en tvåstegs skadlig kodkedja:

• SmartLoader: Den initiala nyttolasten som levererades av de falska repositorierna. Det är en flerstegs LuaJIT-baserad laddare som etablerar persistens på systemet, hämtar krypterade nyttolaststeg och exekverar dem i minnet.
• StealC: Den slutliga nyttolasten. En informationsstöldande skadlig kod som exfiltrerar referenser, API-nycklar, webbläsardata och annan känslig information från komprometterade Windows-system.

Omfattning av operationen (per juli 2026)

Not: Nedladdningssiffran på 14 miljoner+ återspeglar alla händelser som registrerats av GitHubs räknare för kampanjfilerna, vilket kan inkludera automatiserade förfrågningar såväl som verkliga användarnedladdningar.

Forskarnas rekommenderade begränsningar för företag

Baserat på Island Securitys analys och korsrefererad rapportering från Mozillas 0din-team och andra säkerhetsforskare är de viktigaste försvaren:

1. Underhåll en kurerad, godkänd katalog över AI-färdigheter, MCP-servrar och agenttillägg. Tillåt endast agenter att installera komponenter från denna sanktionerade lista. Dokumentera ursprung, ägare, repositorium, commit-hash och version för varje post.

2. Sandlådetesta nya agentkapaciteter. Innan du rullar ut någon ny AI-färdighet eller MCP-server till hela organisationen, utvärdera den i en isolerad, kontrollerad miljö.

3. Verifiera utgivarens och projektets integritet. Kontrollera utgivarens identitet, kontots ålder och projekthistorik innan du litar på någon tredjeparts AI-plugin. Behandla repositorier med högt antal stjärnor/nedladdningar som potentiellt manipulerade.

4. Övervaka agentiska vägar. Implementera övervakning av utgående förfrågningar från AI-agenter till externa repositorier, särskilt nedladdningar av råinnehåll från GitHub som faller utanför etablerade utvecklingsbaslinjer.

5. Begränsa autonomt agentbeteende. Konfigurera AI-kodningsagenter för att kräva användarbekräftelse innan nya verktyg installeras, shell-kommandon från README-instruktioner körs eller externa paket laddas ner.

6. Tillämpa strikta utgångskontroller. Begränsa vilka slutpunkter AI-agentinfrastrukturen kan nå, och upprätthåll en "godkända källor"-vitlista för kod- och paketnedladdningar.

7. Behandla offentliga AI-register som opålitliga. Anta att alla komponenter som upptäcks av en agent från ett offentligt register kan vara skadliga tills de verifierats via den godkända katalogen.