FakeGit 行動：7,600 個假 GitHub 倉庫如何誘騙 AI 程式碼代理自動散佈惡意軟體

該行動至少從 2025 年 3 月 開始活躍，並被追蹤到由一名 越南語的操作者 主導。駭客部署了近 7,600 個惡意 GitHub 倉庫，其中 超過 800 個 偽裝成 AI Skills 或模型上下文協議 (MCP) 伺服器——這正是 Claude Code、Gemini CLI 和 ChatGPT 等 AI 代理會主動搜尋與推薦的元件類型。截至 2026 年 7 月，GitHub 的下載計數器記錄到與這些行動檔案相關的 超過 1,400 萬次下載事件。

什麼是 AgentBaiting？

AgentBaiting 是一種針對 AI 代理信任模型的供應鏈攻擊。攻擊者不再依賴受害者自己點擊惡意連結，而是精心設計他們的假倉庫，使其能被 AI 代理自行發現並推廣。攻擊鏈如下所述：

1. 偽造的 AI Skills 和 MCP 伺服器： 行動中超過 800 個惡意倉庫冒充 AI Skills（程式碼代理的外掛程式）或 MCP 伺服器——這些是當用戶要求整合某個工具或服務時，代理會自主搜尋的元件。
2. 在公開的 AI 註冊清單上登錄： 攻擊者在公開的 AI 註冊清單與目錄中植入了超過 600 個惡意條目，確保他們的倉庫會出現在代理的搜尋結果中。
3. 透過 README 檔案進行社交工程： 這些惡意倉庫使用了複製的正規專案、相似的開發者個人資料，以及看起來令人信服的 README 檔案，其中的安裝說明會被 AI 代理視為可信資訊並傳達給用戶。
4. 自主推薦： 當開發者要求代理尋找某個工具或初始化一個專案時，代理會搜尋網路，發現其中一個假倉庫，讀取 README 檔案，然後將包含惡意軟體下載連結的安裝說明，作為「有用的建議」提供給用戶。

Island Security 的首席研究員 Oleg Zaytsev 描述了這種轉變：「過去用來欺騙人類的手法，現在也開始用來欺騙 AI 代理了。」

惡意軟體酬載：SmartLoader 與 StealC

FakeGit 行動部署了兩階段的惡意軟體攻擊鏈：

• SmartLoader： 由假倉庫傳遞的初始酬載。這是一個基於 LuaJIT 的多階段載入程式，能在系統上建立持續性、擷取加密的酬載階段，並在記憶體中執行它們。
• StealC： 最終的酬載。這是一個資訊竊取型惡意軟體，能從受感染的 Windows 系統中竊取憑證、API 金鑰、瀏覽器資料和其他敏感資訊。

行動規模（截至 2026 年 7 月）

注意：超過 1,400 萬次的下載量是 GitHub 計數器記錄到的所有事件，其中可能包含自動化請求以及真實用戶的下載。

研究人員建議的企業緩解措施

根據 Island Security 的分析以及來自 Mozilla 0din 團隊等其他安全研究單位的交叉比對報告，主要的防禦措施如下：

1. 維護一份經過審核的 AI Skills、MCP 伺服器和代理擴充功能白名單。 只允許代理從這份受核可的清單中安裝元件。為每個條目記錄來源、擁有者、倉庫、提交雜湊值 (commit hash) 和版本。
2. 將新的代理功能進行沙盒測試。 在將任何新的 AI Skill 或 MCP 伺服器部署到整個組織之前，先在一個隔離的、受控的環境中對其進行評估。
3. 驗證發布者與專案的完整性。 在信任任何第三方 AI 外掛之前，交叉比對發布者的身份、帳號年齡和專案歷史。對於那些星數 (stars) 或下載數特別高的倉庫，要保持懷疑，因為這些數據可能被人為操作過。
4. 監控代理的對外路徑。 實施監控機制，留意 AI 代理向外部倉庫發出的請求，特別是針對 GitHub 原始內容的下載，這些請求若超出開發者的正常基線，就可能是異常行為。
5. 限制代理的自主行為。 設定 AI 程式碼代理，要求其在安裝新工具、執行 README 檔案中的 shell 指令或下載外部套件之前，必須獲得用戶的確認。
6. 實施嚴格的出口控制。 限制 AI 代理基礎設施能夠連線的端點，並維護一份「核准來源」白名單，僅允許從這些來源下載程式碼和套件。
7. 將公開的 AI 註冊清單視為不受信任的來源。 預設情況下，由代理從公開註冊清單中發現的任何元件都可能是惡意的，必須先透過核可的白名單目錄進行驗證後才能使用。