FakeGit Kampanyası: Yapay Zeka Kodlama Ajanlarını Hedef Alan 7.600 Sahte GitHub Deposu

En az Mart 2025'ten beri aktif olan ve tek bir Vietnamca konuşan operatöre bağlanan kampanya, yaklaşık 7.600 kötü amaçlı GitHub deposu oluşturdu. Bunların 800'den fazlası, AI Becerileri veya Model Context Protocol (MCP) sunucusu kılığına sokuldu. Bu bileşenler, Claude Code, Gemini CLI ve ChatGPT gibi ajanların aradığı ve önerdiği türden bileşenlerdir . Temmuz 2026 itibarıyla GitHub'ın indirme sayaçları, kampanya dosyalarıyla ilişkili 14 milyondan fazla olay kaydetti .

AgentBaiting Nedir?

AgentBaiting, AI ajanının güven modeline yönelik bir tedarik zinciri saldırısıdır. Saldırganlar, kurbanların kötü amaçlı bağlantılara tıklamasını beklemek yerine, sahte depolarını AI ajanlarının kendilerinin bulup önermesi için tasarladı . Saldırı zinciri şu şekilde işler:

1. Sahte AI Becerileri ve MCP Sunucuları: Kampanyadaki 800'den fazla depo, AI Becerileri (kodlama ajanları için eklentiler) veya MCP sunucuları olarak gizlendi. Bunlar, kullanıcı bir araç veya hizmet entegre etmek istediğinde ajanların otonom olarak aradığı bileşenlerdir .
2. Kamuya Açık AI Kayıtlarında Listeleme: Saldırganlar, kamuya açık AI kayıtlarına ve dizinlerine 600'den fazla kötü niyetli liste yerleştirerek depolarının ajan arama sonuçlarında görünmesini sağladı .
3. README Dosyalarıyla Sosyal Mühendislik: Kötü amaçlı depolar, kopyalanmış meşru projeler, benzeyen geliştirici profilleri ve AI ajanlarının güvenip kullanıcılara aktaracağı ikna edici README dosyaları kullandı .
4. Otonom Önerme: Bir geliştirici, ajandanan bir araç bulmasını veya bir projeyi başlatmasını istediğinde, ajan web'de arama yapar, bu sahte depolardan birini bulur, README'yi okur ve kurulum talimatlarını (kötü amaçlı yazılım indirme dahil) yardımsever bir öneri olarak sunar .

Island Security baş araştırmacısı Oleg Zaytsev bu değişimi şöyle özetliyor: "İnsanları kandırmak için yapılan şey, artık AI ajanlarını da kandırıyor" .

Kötü Amaçlı Yazılım Yükleri: SmartLoader ve StealC

FakeGit kampanyası iki aşamalı bir kötü amaçlı yazılım zinciri kullanıyor:

• SmartLoader: Sahte depolar tarafından dağıtılan ilk yük. Sistemde kalıcılık sağlayan, şifreli yük aşamalarını alan ve bunları bellekte çalıştıran çok aşamalı bir LuaJIT tabanlı yükleyicidir .
• StealC: Nihai yük. Windows sistemlerinden kimlik bilgilerini, API anahtarlarını, tarayıcı verilerini ve diğer hassas bilgileri sızdıran bir bilgi hırsızı kötü amaçlı yazılımdır .

Operasyonun Boyutu (Temmuz 2026 itibarıyla)

Not: 14 milyon+ indirme sayısı, kampanya dosyaları için GitHub'ın sayaçlarının kaydettiği tüm olayları yansıtır. Bu sayı, otomatik isteklerin yanı sıra gerçek kullanıcı indirmelerini de içerebilir .

Araştırmacıların İşletmelere Önerdiği Önlemler

Island Security'nin analizine ve Mozilla'nın 0din ekibi ile diğer güvenlik araştırmacılarının raporlarına dayanan temel savunma yöntemleri şunlardır:

1. Onaylı AI Becerileri, MCP Sunucuları ve Ajan Eklentilerinden oluşan bir katalog oluşturun. Ajanların yalnızca bu onaylı listedeki bileşenleri yüklemesine izin verin. Her girişin kaynağını, sahibini, deposunu, commit hash'ini ve sürümünü belgeleyin .

2. Yeni ajan yeteneklerini izole bir ortamda (sandbox) test edin. Herhangi bir yeni AI Becerisi veya MCP sunucusunu kuruluş genelinde kullanıma sunmadan önce kontrollü, izole bir ortamda değerlendirin .

3. Yayıncı ve proje bütünlüğünü doğrulayın. Herhangi bir üçüncü taraf AI eklentisine güvenmeden önce yayıncının kimliğini, hesabının yaşını ve proje geçmişini çapraz kontrol edin. Yüksek yıldızlı/yüksek indirmeli depoların manipüle edilmiş olabileceğini unutmayın .

4. Ajanik yolları izleyin. AI ajanlarından dış kaynaklara (özellikle belirlenen geliştirici taban çizgilerinin dışındaki GitHub'dan ham içerik indirmeleri) yapılan giden istekler için izleme uygulayın .

5. Otonom ajan davranışını kısıtlayın. AI kodlama ajanlarını, yeni araçlar yüklemeden, README talimatlarından kabuk komutları çalıştırmadan veya harici paketler indirmeden önce kullanıcı onayı istemeye zorlayacak şekilde yapılandırın .

6. Sıkı çıkış kontrolleri uygulayın. AI ajan altyapısının hangi uç noktalara erişebileceğini sınırlandırın ve kod ve paket indirmeleri için bir "onaylı kaynaklar" beyaz listesi tutun .

7. Kamuya açık AI kayıtlarına güvenilmemiş muamelesi yapın. Bir ajanın kamuya açık bir kayıttan keşfettiği herhangi bir bileşenin, onaylı katalog aracılığıyla doğrulanana kadar kötü amaçlı olabileceğini varsayın .