Islandによると、約7,600件の悪意あるGitHubリポジトリが発見され、そのうち800件以上がAI SkillやModel Context Protocol(MCP)サーバーを装っていました。この動きは2026年4月にピークを迎えています。
FakeGit作戦の規模（出典: Island）
これらの偽リポジトリは約6,600個のアカウントに紐づいており、そのうち約1,400個はAIツール、エージェント、ワークフローを中心に構築されたものでした。対象は個人利用から企業利用まで幅広く、Gmail・WhatsAppとの連携から、Databricks、Jenkins、Dockerツールに至るまで多岐にわたります。
このキャンペーンは「FakeGit」というコード名で呼ばれ、SmartLoaderと呼ばれるマルウェアファミリーを配布するもので、2026年7月時点で、これらのリポジトリのうち約200件のGitHubリリースアセット全体で1,400万件以上のダウンロードが記録されていました。
Islandのリードセキュリティ研究者であるOleg Zaytsev氏は、「FakeGitは、コピーしたプロジェクト、なりすました開発者プロフィール、説得力のあるREADME、そして悪意あるZIPファイルを組み合わせてSmartLoaderマルウェアを配布します。実行されると、SmartLoaderは永続化を確立し、認証情報やアクティブなセッション、その他の機密データを狙う情報窃取マルウェアStealCをインストールします」と述べています。
トロイの木馬化されたMCPサーバーを使ってSmartLoaderとStealCを拡散する手口については、Straiker AIが今年初めに最初に報告しており、その後Derp.caが追加の調査結果を発表しています。
AgentBaiting：ユーザーではなくAIエージェントを狙う手口
この作戦の中で、Islandは「AgentBaiting」と呼ぶ手法を特定しました。これは、検索を行うAIエージェント自体が標的となり、そのエージェントが仕える人間の代わりにターゲットにされるというものです。
Zaytsev氏は、「SkillやMCPサーバーといった新機能を探しているAIエージェントは、攻撃者が用意したキャンペーン用リポジトリを自力で発見し、その攻撃者のREADMEを正規のドキュメントとして扱い、インストール手順をそのままユーザーに渡してしまう可能性があります」と指摘しています。
無料の「シネマティックプロンプト」スキルを探すよう指示したところ、Claude Codeは正規のリポジトリと悪意あるリポジトリの両方を発見しました。正規の選択肢を推薦した一方で、同じ実行の中で悪意あるリポジトリのインストール手順も併せて提示し、ユーザーに対して.exeファイルをダウンロードしWindowsのセキュリティ警告をクリックして進めるよう促していました。別の実行では、同じリポジトリをより詳しく調査した結果、推薦を拒否するケースもありました。
GeminiとChatGPTでも同様の問題が確認されました。無料のWalmart MCPサーバーを探すよう指示したところ、両方とも同じ悪意あるリポジトリを最有力候補として推薦しました。
Zaytsev氏は、「我々のテストでは、Claude Code、Gemini、ChatGPTのいずれも、リンクを一切提示されていない状態で悪意あるキャンペーン用リポジトリを表示していました」と付け加えています。
これらは無名で手抜きなページではありません。あるリポジトリは、67,000以上のスターを持つ正規プロジェクトの名前とレイアウトをそっくりコピーし、自身も63個のスターと18個のフォークを獲得しており、一見しただけでは十分に定着したプロジェクトのように見えます。
Zaytsev氏は「この欺瞞は、プロジェクトの背後にあるプロフィールにも及んでいます」と述べています。あるアカウントは、実在する開発者の本物のハンドルネームとわずか1文字違いで、プロフィールも入念にコピーした上で、独自の悪意あるMCPサーバーを公開していました。
これらのリポジトリに関する600件以上の掲載情報が、LobeHub、Glama、MCP.so、MCP Marketを含む公開AIレジストリ上で見つかりました。一部のレジストリはリポジトリのREADMEをそのままミラーリングしており、悪意あるダウンロードリンクを、そのレジストリ自身の信頼性を借りる形で別のプラットフォームへと運んでしまっています。
企業が身を守るには
この脅威に対抗するため、Islandはレビュー済みのSkillとMCPサーバーのカタログを構築すること、新しい機能はまずサンドボックス環境でテストすること、発行元とプロジェクトの両方を検証すること、そしてエージェントがツールをダウンロード・インストールする際の経路を監視することを推奨しています。
Zaytsev氏はこう結論づけています。「SmartLoaderの実行が疑われる場合は、当該エンドポイントを隔離し、アクティブなブラウザセッション、OAuth許可、APIトークン、クラウドおよび開発者向け認証情報を失効させてください。StealCはパスワードだけでなく、有効なセッションそのものを窃取するため、パスワードのリセットだけでは不十分です」
Islandは、影響を受けたリポジトリの一覧とファイルハッシュのリストを報告書に添えて公開しています。
翻訳元: https://www.helpnetsecurity.com/2026/07/21/github-repos-malware-campaign-fakegit-ai-agents/
