7月21日、Help Net Securityが「AI agents tricked into recommending malicious GitHub repositories」と題した記事を公開した。この記事では、AIエージェントを騙してマルウェア入りの悪意あるGitHubリポジトリを推奨させる攻撃キャンペーン「FakeGit」の実態について詳しく紹介されている。

7,600件の偽リポジトリ、AIが自ら「インストール手順」を案内

セキュリティ企業Islandの調査によると、約7,600件の悪意あるGitHubリポジトリが確認された。そのうち800件以上がAI SkillsまたはMCP（Model Context Protocol）サーバーに偽装しており、2026年4月にピークを迎えた。

MCPとは、AIエージェントが外部ツールやサービスと連携するためのプロトコルであり、Claude、Gemini、ChatGPTといったAIエージェントが機能を拡張する際に利用する仕組みだ。攻撃者はこの仕組みを悪用し、開発者が日常的に探すようなツール（Gmail連携、WhatsApp連携、Databricks、Jenkins、Dockerのユーティリティなど）に見せかけた偽リポジトリを大量に作成した。

これらのリポジトリは約6,600アカウントに紐づいており、うち約1,400アカウントがAIツール・エージェント・ワークフローを前面に出した構成になっている。配布されるマルウェアは「SmartLoader」と呼ばれ、2026年7月時点で約200リポジトリのGitHub Releaseアセット経由で累計1,400万回以上ダウンロードされている。

攻撃手法「AgentBaiting」——ユーザーではなくAI自身を騙す

この攻撃キャンペーンで最も特筆すべきは、Island社が「AgentBaiting」と名付けた新しい攻撃手法だ。

従来のソーシャルエンジニアリングがユーザーを騙すのに対し、AgentBaitingでは検索を行うAIエージェントそのものをターゲットにする。既存のプロンプトインジェクション攻撃がユーザーやシステムからAIへの入力を悪意ある命令で汚染するのとは異なり、AgentBaitingはAIが自律的に行う「外部検索」という行動そのものを悪用する点が概念的に新しい。AIエージェントが新しいSkillやMCPサーバーを検索する際、攻撃者のリポジトリを正規のドキュメントとして認識し、そのインストール手順をユーザーに渡してしまう——攻撃者が直接AIに何かを送りつけるのではなく、AIが自ら騙される構造だ。

Islandが実際に検証したところ、結果は以下の通りだった：

• Claude Code：「cinematic prompt」スキルを検索させたところ、正規リポジトリと悪意あるリポジトリの両方を発見。正規の方を推奨しつつも、同一セッション内で悪意あるリポジトリのインストール手順も提示し、.exeファイルのダウンロードとWindowsセキュリティ警告の無視をユーザーに案内した。別のセッションでは同リポジトリを精査して推奨を拒否した場合もあり、挙動に一貫性がない。
• Gemini・ChatGPT：「無料のWalmart MCPサーバー」を尋ねたところ、両者とも同一の悪意あるリポジトリをトップ候補として推奨した。

IslandのリードセキュリティリサーチャーであるOleg Zaytsev氏は次のように述べている。

「Claude Code、Gemini、ChatGPTのいずれも、リンクを一切提示されることなく、自ら悪意あるキャンペーンリポジトリを発見して表示した」

偽装の巧妙さ——「本物に見える」工夫が随所に

偽リポジトリは低品質な作りではない。

• GitHubスター67,000超の正規プロジェクトの名称・レイアウトを丸コピーしたリポジトリが存在し、そのコピー自体が63スターと18フォークを獲得しており、一見すると既存の信頼されたプロジェクトに見える。
• 開発者プロフィールも1文字違いのハンドル名を使い、本物の開発者のプロフィールをほぼ複製した上で悪意あるMCPサーバーを公開しているアカウントも確認されている。
• LobeHub、Glama、MCP.so、MCP Marketといった公開AIレジストリに600件以上が掲載されており、一部のレジストリはリポジトリのREADMEをそのまま転載するため、悪意あるダウンロードリンクがレジストリ自身の信頼性のもとで別プラットフォームにも広がっている。

SmartLoaderが実行されると、マシンへの永続化を確立した後、StealCと呼ばれる情報窃取マルウェアをインストールする。StealCは2022年頃から観測されているMaaS（Malware-as-a-Service）型の情報窃取ツールであり、サイバー犯罪フォーラムでのリース販売で広まった既知のマルウェアファミリーだ。パスワードだけでなく、ブラウザのアクティブセッション、OAuthトークン、APIキー、クラウドおよび開発者の認証情報を対象とする。SmartLoaderはその配送役として機能するローダー型マルウェアであり、実行環境に応じた追加ペイロードを動的に取得・展開する仕組みをとっている。

企業がとるべき対策

Islandは以下の対策を推奨している：

• レビュー済みのSkill・MCPサーバーのカタログを社内で構築する
• 新しい機能はサンドボックス環境で先に検証する
• パブリッシャーとプロジェクトの両方を検証する
• エージェントがツールのダウンロード・インストールに使うパスを監視する

また、SmartLoaderの実行が疑われる場合は、パスワードリセットだけでは不十分だと警告している。StealCはライブセッションを窃取するため、エンドポイントの隔離に加え、ブラウザセッション、OAuthグラント、APIトークン、クラウド認証情報すべての失効処理が必要だ。

FakeGitキャンペーンはStraiker AIが今年初めに最初に報告し、その後Derp.caが追加調査を行った。Islandのレポートには影響を受けるリポジトリのリストとファイルハッシュが添付されている。

詳細はAI agents tricked into recommending malicious GitHub repositoriesを参照していただきたい。