FakeGit: як шахраї використовують ШІ-асистентів для поширення малварі через GitHub

Що таке AgentBaiting?

AgentBaiting — це атака на ланцюжок постачання, що експлуатує модель довіри ШІ-асистента. Замість того, щоб покладатися на те, що жертви випадково перейдуть за шкідливими посиланнями, зловмисники створили фейкові репозиторії, які знаходять і рекламують самі ШІ-асистенти. Схема атаки виглядає так:

1. Фейкові ШІ-навички та MCP-сервери: Понад 800 репозиторіїв кампанії маскувалися під ШІ-навички (плагіни для асистентів) або MCP-сервери — компоненти, які асистенти автономно шукають, коли користувач просить інтегрувати якийсь інструмент або сервіс.
2. Оголошення в публічних каталогах ШІ: Зловмисники розмістили понад 600 шкідливих оголошень у публічних каталогах та реєстрах ШІ, гарантуючи, що їхні репозиторії з'являться в результатах пошуку асистентів.
3. Соціальна інженерія через README: Шкідливі репозиторії використовували скопійовані легальні проєкти, профілі розробників-двійників та переконливі файли README з інструкціями, яким ШІ-асистенти довіряли та передавали користувачам.
4. Автономна рекомендація: Коли розробник просив асистента знайти інструмент або ініціалізувати проєкт, асистент шукав в інтернеті, знаходив один із таких фейкових репозиторіїв, читав README і представляв інструкції зі встановлення (включно із завантаженням шкідливого ПЗ) як корисну рекомендацію.

Провідний дослідник Island Security Олег Зайцев описав цю зміну так: "Те, що створювалося для обману людей, тепер обманює і ШІ-асистентів".

Шкідливе навантаження: SmartLoader і StealC

Кампанія FakeGit використовує двоетапний ланцюжок зараження:

• SmartLoader: Початкове шкідливе навантаження, яке доставляється з фейкових репозиторіїв. Це багатоетапний завантажувач на основі LuaJIT, який закріплюється в системі, отримує зашифровані етапи корисного навантаження та виконує їх у пам'яті.
• StealC: Кінцеве шкідливе навантаження. Інформаційний злодій, який викрадає облікові дані, ключі API, дані браузера та іншу чутливу інформацію із скомпрометованих систем Windows.

Масштаб операції (станом на липень 2026 року)

Примітка: кількість завантажень у 14 млн+ відображає всі події, зафіксовані лічильниками GitHub для файлів кампанії, що може включати як автоматичні запити, так і реальні завантаження користувачами.

Рекомендації дослідників для компаній

На основі аналізу Island Security та інших джерел, ключові заходи захисту:

1. Ведіть затверджений каталог ШІ-навичок, MCP-серверів та розширень асистентів. Дозволяйте асистентам встановлювати лише компоненти з цього списку. Документуйте походження, власника, репозиторій, хеш коміту та версію для кожного запису.

2. Ізолюйте нові можливості асистентів. Перш ніж впроваджувати будь-яку нову ШІ-навичку чи MCP-сервер у ширшій організації, перевіряйте її в ізольованому контрольованому середовищі.

3. Перевіряйте цілісність видавця та проєкту. Звіряйте особу видавця, вік облікового запису та історію проєкту, перш ніж довіряти будь-якому сторонньому ШІ-плагіну. Ставтеся до репозиторіїв з великою кількістю зірок або завантажень як до потенційно скомпрометованих.

4. Контролюйте дії асистентів. Впровадьте моніторинг вихідних запитів від ШІ-асистентів до зовнішніх репозиторіїв, особливо завантажень сирцевого вмісту з GitHub, які виходять за межі звичайної діяльності розробників.

5. Обмежте автономну поведінку асистентів. Налаштуйте ШІ-асистентів для кодування так, щоб вони вимагали підтвердження користувача перед встановленням нових інструментів, виконанням команд оболонки з інструкцій README або завантаженням зовнішніх пакетів.

6. Застосовуйте суворі обмеження вихідного трафіку. Обмежте, яких кінцевих точок може досягати інфраструктура ШІ-асистентів, та ведіть білий список "схвалених джерел" для завантаження коду та пакетів.

7. Ставтеся до публічних каталогів ШІ як до ненадійних. Вважайте будь-який компонент, знайдений асистентом у публічному каталозі, шкідливим, доки його не буде перевірено через затверджений каталог.