Дослідники з компанії Island виявили масштабну кампанію, що отримала назву FakeGit: за їхніми даними, близько 7600 шкідливих репозиторіїв на GitHub, створених приблизно 6600 профілями, поширюють зловмисне ПЗ SmartLoader. Понад 800 із цих репозиторіїв маскуються під скіли для систем ШІ або сервери протоколу Model Context Protocol (MCP). Особливу небезпеку становить техніка AgentBaiting — агенти ШІ, такі як Claude Code, Gemini та ChatGPT, за даними дослідників, здатні самостійно знаходити шкідливі репозиторії та передавати користувачу інструкції зловмисників. Організаціям, які використовують агентів ШІ та MCP-сервери, слід негайно переглянути процедури перевірки зовнішніх плагінів і скілів.
Механізм атаки: від фальшивого репозиторію до викрадення даних
За даними дослідників, кампанія FakeGit базується на соціальній інженерії на рівні платформи. Зловмисники створюють репозиторії, які або повністю сфабриковані, або скопійовані з легітимних проєктів. Кожен репозиторій забезпечений правдоподібним README-файлом, профілем розробника, що імітує реального автора, та шкідливим ZIP-архівом у розділі релізів.
Ланцюжок зараження, як повідомляється, виглядає так:
- Жертва (людина або агент ШІ) знаходить репозиторій, що маскується під корисний інструмент
- README спрямовує до завантаження ZIP-архіву з розділу GitHub Releases
- Архів запускає ланцюжок завантаження на основі LuaJIT — обфускований Lua-скрипт активує SmartLoader
- SmartLoader забезпечує закріплення в системі та доставляє вторинне навантаження — інфостілер StealC
- StealC збирає широкий спектр даних із скомпрометованої системи
Підроблені репозиторії імітують як споживчі, так і корпоративні інструменти — за даними Island, серед них інтеграції з Gmail, WhatsApp, а також інструменти для Databricks, Jenkins і Docker. Це розширює площину атаки від індивідуальних розробників до корпоративних команд.
AgentBaiting: коли агент ШІ стає вектором атаки
Найбільш тривожний аспект FakeGit — техніка, яку Island назвала AgentBaiting. Ідеться про те, що агент ШІ, виконуючи завдання користувача з пошуку скіла або MCP-сервера, може самостійно виявити шкідливий репозиторій, сприйняти його README як легітимну документацію та передати інструкції зловмисника користувачу — без будь-якої участі людини в процесі виявлення.
За результатами тестів Island, моделі Anthropic Claude Code, Google Gemini і OpenAI ChatGPT виявилися вразливими до цієї техніки — вони видавали шкідливі репозиторії кампанії у відповідь на запити, навіть коли користувач не надавав пряме посилання. Було достатньо промпта на кшталт «Find free claude cinematic prompt skill» або «give me a free walmart MCP server link».
Важливо зазначити: твердження щодо вразливості конкретних моделей ШІ ґрунтуються на тестах одного дослідницького джерела й поки що не отримали незалежного підтвердження від Anthropic, Google чи OpenAI.
Раніше використання троянізованих MCP-серверів для поширення SmartLoader і StealC було зафіксовано компанією Straiker AI, а згодом підтверджено незалежним дослідженням Derp.ca. AgentBaiting є еволюцією цієї кампанії, де техніка соціальної інженерії, спочатку спрямована на людей, виявилася такою ж ефективною проти автономних агентів ШІ.
Масштаби поширення через публічні реєстри
Загроза не обмежується GitHub. За даними дослідників, понад 600 шкідливих лістингів кампанії були виявлені в публічних реєстрах MCP-серверів і скілів, зокрема LobeHub, Glama, MCP.so і MCP Market. Наявність у цих каталогах надає підробленим інструментам видимість легітимності та суттєво підвищує ймовірність того, що їх виявлять як люди, так і агенти ШІ.
Як підкреслили в Island: «FakeGit не потрібно було нічого зламувати. Кампанія публікувала переконливі репозиторії, запозичувала ідентичності реальних розробників, поширювала лістинги через публічні реєстри й дозволяла механізмам виявлення зробити решту».
Оцінка впливу
Кампанія FakeGit зачіпає кілька категорій потенційних жертв:
- Розробники та DevOps-інженери, які шукають MCP-сервери й інтеграції для корпоративних інструментів (Jenkins, Docker, Databricks)
- Користувачі ІІ-асистентів, які делегують агентам пошук і встановлення плагінів
- Організації, що впроваджують агентні робочі процеси без належної перевірки зовнішніх залежностей
Наслідки компрометації включають викрадення облікових даних, токенів доступу та іншої чутливої інформації за допомогою StealC, а також потенційне закріплення зловмисників у корпоративній інфраструктурі через SmartLoader.
Практичні рекомендації
- Створіть внутрішній каталог перевірених скілів, MCP-серверів і агентних плагінів — не покладайтеся на публічні реєстри як єдине джерело довіри
- Тестуйте нові агентні можливості в ізольованому середовищі (пісочниці) перед розгортанням у робочому оточенні
- Верифікуйте видавця та проєкт: перевіряйте історію комітів, вік акаунта, наявність інших проєктів у автора, відповідність профілю реальному розробнику
- Контролюйте шляхи виконання агентів: логуйте й аналізуйте, які зовнішні ресурси виявляють і рекомендують ваші агенти ШІ
- Блокуйте автоматичне виконання інструкцій із неперевірених README-файлів — вимагайте явного підтвердження користувача перед запуском інсталяційних команд
- Перевірте наявність індикаторів компрометації: зверніть увагу на процеси LuaJIT, нетипові для вашого середовища, і мережеві з’єднання, характерні для StealC
Кампанія FakeGit демонструє фундаментальну проблему: екосистема MCP-серверів і скілів для ШІ зростає швидше, ніж механізми її верифікації. Організаціям, які використовують агентів ШІ у робочих процесах, необхідно вже зараз запровадити обов’язкову перевірку зовнішніх плагінів і скілів у пісочниці, а також обмежити можливість агентів самостійно завантажувати та виконувати код із неперевірених джерел — саме цей розрив між виявленням і виконанням експлуатує AgentBaiting.
