Pesquisadores de cibersegurança descobriram cerca de 7.600 repositórios maliciosos no GitHub, dos quais mais de 800 se passam por servidores de inteligência artificial (IA) ou de Protocolo de Contexto de Modelo (MCP, na sigla em inglês) para distribuir uma família de malware conhecida como SmartLoader, como parte de uma campanha em andamento chamada FakeGit.
"A FakeGit usa projetos copiados, perfis de desenvolvedores falsificados, READMEs convincentes e arquivos ZIP maliciosos para distribuir o malware SmartLoader", Oleg Zaytsev, pesquisador-chefe de segurança na Island, afirmou em um relatório compartilhado com o The Hacker News.
O objetivo final desses ataques é aproveitar o acesso obtido pelo SmartLoader para estabelecer persistência e enviar cargas úteis secundárias, como o StealC, um ladrão de informações capaz de coletar uma grande variedade de dados em sistemas comprometidos.
Vale destacar que o uso de servidores MCP trojanizados para distribuir o SmartLoader e o StealC já havia sido sinalizado no início deste ano pela Straiker AI e, posteriormente, pela Derp.ca. No entanto, um aspecto preocupante da FakeGit é uma evolução com uso de IA apelidada de AgentBaiting.
Como funciona o AgentBaiting
O fenômeno ocorre quando um agente de IA em busca de uma Skill (recurso ou habilidade de IA) ou de um servidor MCP acaba descobrindo, de forma inadvertida, um desses repositórios falsos no GitHub, fazendo com que execute as ordens do atacante por conta própria, sem qualquer intervenção de um usuário humano.
A Island afirmou que seus testes revelaram que o Anthropic Claude Code, o Google Gemini e o OpenAI ChatGPT são suscetíveis a esse truque, permitindo que os modelos exibam repositórios maliciosos da campanha sem sequer receber um link. Em outras palavras, uma técnica criada originalmente para enganar humanos por meio de engenharia social agora tem a capacidade de enganar igualmente um agente de IA agindo em nome deles.
Escala da campanha
Dos 7.600 repositórios maliciosos criados por cerca de 6.600 perfis no GitHub, 800 se passavam por Skills ou servidores MCP para uso individual e empresarial, desde integrações com Gmail e WhatsApp até ferramentas de Databricks, Jenkins e Docker. Até julho de 2026, a operação FakeGit registrou mais de 14 milhões de downloads em ativos de releases do GitHub em cerca de 200 repositórios da campanha.
"Os repositórios foram projetados para atender a uma demanda que já se formava em torno de capacidades de IA, apropriando-se dos nomes e dos fluxos de trabalho de ferramentas familiares de consumo e empresariais", explicou Zaytsev. "Essa familiaridade deu aos arquivos ZIP maliciosos uma razão plausível para serem baixados, enquanto o README orientava usuários ou agentes do que parecia ser uma configuração rotineira para a cadeia de ataque do SmartLoader."
Cadeia de infecção
Os repositórios falsificados, seja totalmente fabricados ou copiados de projetos legítimos, servem como canal para um arquivo ZIP, que é então usado para acionar uma cadeia de carregamento em LuaJIT, levando à execução de um script Lua ofuscado responsável por distribuir o SmartLoader. Em seguida, o carregador prossegue com a implantação do StealC.
O AgentBaiting escala ainda mais essa ameaça, pois abre caminho para um cenário em que um agente de IA pode ser atraído a descobrir um repositório da FakeGit sem que seja necessário fornecer um link malicioso, bastando um comando como: "Encontre uma skill gratuita de prompts cinematográficos para Claude e me dê as instruções de instalação" ou "me dê um link gratuito de servidor MCP da Walmart".
"Ao tentar concluir uma tarefa, ele pode descobrir um repositório da FakeGit por conta própria, tratar o README como documentação legítima e repassar as instruções do atacante ao usuário", afirmou a Island. "A FakeGit construiu suas iscas de IA em torno desse caminho."
Riscos e recomendações
A técnica demonstra mais uma vez como operações rotineiras de descoberta assistida por IA podem ser transformadas em um caminho para a execução de código malicioso, problema que se agrava quando as Skills ou servidores MCP maliciosos são listados em registros públicos como LobeHub, Glama, MCP.so e MCP Market, dando a eles uma falsa sensação de legitimidade. Mais de 600 listagens da campanha já foram sinalizadas em registros públicos de MCP e Skills.
Para combater a ameaça, a recomendação é construir um catálogo de Skills, servidores MCP e plugins de agentes revisados, avaliar novas capacidades de agentes em um ambiente isolado (sandbox) antes de uma implementação mais ampla, verificar tanto o publicador quanto o projeto para garantir credibilidade, e monitorar os caminhos dos agentes.
"A FakeGit não precisou invadir nada. Publicou repositórios convincentes, se apropriou de identidades reais de desenvolvedores, espalhou suas listagens em registros públicos e deixou que a descoberta fizesse o resto", disse a Island.
"Com o AgentBaiting, essa descoberta não exige mais uma pessoa: um agente em busca de uma Skill ou servidor MCP pode encontrar a isca, ler o README do atacante e executar suas instruções adiante. As defesas que importam são as que interrompem essa cadeia antes da execução."
