7月21日、Cyber Security Newsが「AgentBaiting Campaign Uses 800 Fake AI Skills and MCP Servers to Deliver SmartLoader Malware」と題した記事を公開した。AIエージェント開発者を標的に、800件以上の偽AI Skills・MCPサーバーをGitHub上に展開してマルウェアを配布する「AgentBaiting」キャンペーンの詳細が報告されている。
GitHubを舞台にしたAIツール偽装攻撃
AIエージェント開発が普及するにつれ、開発者が日常的に参照するGitHubのリポジトリ群そのものが攻撃の経路になりつつある。セキュリティ企業Islandの調査によると、「AgentBaiting」と命名されたこのキャンペーンでは、約6,600のアカウントが7,600件以上の悪意あるリポジトリを作成した。そのうち800件超がAI SkillsまたはMCPサーバーを装ったものだ。
AgentBaitingは、より大規模な「FakeGit」オペレーションの一部として観測された。FakeGitオペレーション全体はGitHub上での大規模な偽装リポジトリ展開を特徴とする攻撃群であり、AgentBaitingはその中でもAIツールへの偽装に特化した波として位置付けられる。AIに特化した波は2026年3月から本格化し、4月にピークを迎えた。悪意あるプロジェクトは公開AIレジストリやカタログに600回以上掲載され、約200のリポジトリのリリースアセットからは1,400万件超のダウンロードが計測されている。
「本物そっくり」な偽装の手口
攻撃者の信頼獲得手法は手が込んでいる。既存の人気プロジェクトのコピー、外見を似せたアカウント、説得力のあるドキュメント、そして一定のスター数やエンゲージメント数の偽装を組み合わせている。
具体例として、人気のComposioHQ/awesome-claude-skillsリポジトリを模倣したMann1988/awesome-claude-skillsという偽リポジトリが確認されている。
MCPサーバーを装ったルアー（おとり）の約3分の2がクラウドサービス・データベース・APIとの連携をうたっており、62件は企業内部向けの開発ツールとして偽装されていた。メール、メッセージング、分析、ビルドシステムなど、開発者が日常業務で実際に必要とするカテゴリに絞って名称が付けられているため、不審に見えにくい。FakeGitオペレーション全体を通じて、この「開発者が自然に検索するキーワード」への徹底した最適化が攻撃の核心にある。
感染チェーン：ZIPを展開した瞬間から始まる
感染の流れを具体的に示すのが45d5r/databricks-mcp-serverというリポジトリだ。ドキュメントにはエンタープライズ向けMCPサーバーの説明とダウンロードボタンが用意されているが、リンク先のZIPアーカイブには以下が含まれている。
- コマンドランチャー（実際のインストーラに見せかけた実行ファイル）
- LuaJITスタイルのランタイム（リネームされたもの）
- テキストファイルに偽装した難読化済みLuaプログラム
ランチャーを実行すると、MCPサーバーのインストールは一切行われず、隠蔽されたペイロードが起動する。このペイロードがSmartLoaderと呼ばれるローダー型マルウェアであり、最終的なマルウェアを被害者のシステムに注入するための中間段階として機能する。
関連する亜種ではさらに高度な手口も確認されている。
- コンソールウィンドウの非表示化
- Polygonスマートコントラクトに格納した値でC2サーバーを動的に解決（ブロックチェーンをC2インフラ隠蔽に悪用）
- スケジュールタスクによる永続化
- GitHubから暗号化ステージを段階的にダウンロード
SmartLoaderが最終的にドロップするのが**StealC**（認証情報・ブラウザ保存パスワード・暗号資産ウォレット等を窃取するインフォスティーラー型マルウェア）だ。つまりタイトルにある「SmartLoader」はローダー（配送役）であり、StealCが実際の情報窃取を担う最終ペイロードとなる。開発者の認証情報や機密データが直接の標的となるため、被害の深刻度は高い。
なぜ開発者が狙われるのか
**MCP（Model Context Protocol）**はAnthropicが策定したAIエージェントとツールを接続するための標準規格で、2024年後半から普及が急加速している。MCPサーバーは外部APIやデータベースへのアクセスを仲介するため、開発者が新しいサーバーを探してGitHubやカタログサイトを検索するケースが急増している。攻撃者はこの「検索→発見→インストール」という開発ワークフロー自体を悪用している点が従来型のマルウェア配布と異なる。
公開AIレジストリへの掲載が600回以上に達しているという事実は、レジストリ側のチェックが攻撃者の作成ペースに追いついていないことを示している。
対策のポイント
Islandの元レポートから読み取れる防御上の示唆は以下の通りだ。
- ダウンロード元リポジトリの作成日・スター数の推移・コントリビューター履歴を確認する。本物のプロジェクトをコピーした偽リポジトリは作成日が浅く、コントリビューターがほぼ存在しない。
- ZIPアーカイブの内容を展開前に確認する。正規のMCPサーバーはPythonパッケージやNode.jsモジュールとして配布されるのが一般的であり、LuaJITランタイムが同梱されているのは異常だ。
- 公開カタログへの掲載有無だけを信頼の根拠にしない。今回の攻撃では600回以上のカタログ掲載が確認されており、レジストリへの登録自体は安全性の担保にならない。
- 組織内でのMCPサーバー導入にはレビュープロセスを設ける。個人開発者がカタログから直接インストールするフローは、今回のような攻撃の主要な侵入経路となっている。
詳細はAgentBaiting Campaign Uses 800 Fake AI Skills and MCP Servers to Deliver SmartLoader Malwareを参照していただきたい。
