FakeGit autonom IA-Agenten verwandeln GitHub in Malware-Vektor

Cybersecurity-Forscher haben eine massive Kampagne identifiziert, die GitHub als Distributionsplattform nutzt: fast 7.600 schädliche Repositories erstellt von etwa 6.600 Profilen, von denen mehr als 800 an IA's "skills" oder an Server des sogenannten Model Context Protocol (MCP) weitergeleitet werden, um ein erstes Ladegerät zu liefern, das als "Skills" bekannt ist. SmartLoader die wiederum instates information Diebe wie Stehlen. Die störende Sache ist nicht nur Quantität, sondern Mechanik: gefälschte oder geklonte Projekte, Profile, die legitime Entwickler mihmen und überzeugende README, die getarnte ZIP-Datei-Downloads induzieren, die eine LuaJIT-basierte Lastkette aktivieren, um osfuscated Code auszuführen.

Die Kampagne, genannt FakeGit von den Forschern, hat die reale Nachfrage nach IA-Integrationen und -Tools - von Gmail und WhatsApp-Steckverbindern bis zu Gewinnen für Jenkins, Docker und Databricks - ausgenutzt und hat mehr als 14 Millionen Downloads durch GitHub Releases Assets in einigen Kampagnen-Projektarchiven erreicht. Funktionelle Attraktivität und Vertrautheit mit echten Namen und Workflows reichten aus, um den Download des schädlichen ZIP zu legitimieren.

Mehr beunruhigend ist die Evolution namens AgentBaiting: autonome IA-Agenten (die "Assistenten", die Fähigkeiten suchen und installieren oder MCP-Server) können diese Repositories für sich selbst entdecken, lesen README als ob es authentische Dokumentation und schädliche Anweisungen ohne menschliche Intervention ausgeführt. Evidence deutet darauf hin, dass Modelle wie Anthropic Claude Code, Google Gemini und OpenAI ChatGPT missbraucht werden können, um diese Repositorys zu entlarven oder zu empfehlen, die eine humanorientierte Social Engineering-Technik in einen Vektor verwandelt, der auf einer Skala und ohne Aufsicht arbeitet.

Diese Paradigmenverschiebung hat ernste Auswirkungen auf die Softwaresicherheit und das Vertrauen in öffentliche Aufzeichnungen. Wenn die Suche und Installation von einem Agenten durchgeführt wird, alle traditionellen Verteidigungen, die von der menschlichen Überprüfung abhängen aufhören zu arbeiten. Darüber hinaus fügt die Präsenz dieser Geräte in Märkten und öffentlichen Auflistungen (LobeHub, Glama, MCP.so, MCP Market, etc.) eine Schicht offensichtlicher Legitimität hinzu, die die Erkennung schwieriger und zunehmender Reichweite macht.

Verteidigung muss auf mehrere Fronten wirken. Auf betrieblicher Ebene sollten Organisationen einen verifizierten Katalog von Fähigkeiten, MCP-Servern und genehmigten Ergänzungen erstellen und pflegen, jede neue Agentenkapazität in isolierten Umgebungen testen und das Prinzip des Mindestprivilegs auf Konten und Agenten anwenden, die Code herunterladen oder ausführen können. Es ist wichtig, Codesignaturen und reproduzierbare Artefakte zu benötigen, um Richtlinien zu implementieren, die automatische Entladungen und Durchführungen von Agenten blockieren und Echtzeit-Ausführungen und Exfiltrationsrouten mit EDR und Egress-Kontrolle prüfen.

Öffentliche Entwickler und Repositories haben auch Verantwortung: Die Annahme von Integritätspraktiken der Lieferkette (z.B. Anmeldungen, Bereitstellung von SBOM und folgenden Frames wie SLSA) reduziert die Wahrscheinlichkeit, dass schädliche Geräte zirkulieren, als wären sie legitim. Die Plattformen, die Aufzeichnungen von Fähigkeiten und MCP hosten sollten minimale Prozesse der Identität und Reputationsverifikation einführen, automatisiertes Scannen von Geräten und klare Kanäle, um verdächtige Listen zu melden und zu entfernen.

Ein Modellanbieter sollte die Fähigkeit von Agenten beschränken, Aktionen ohne Einschränkungen auszuführen, Quellvalidierungen vor der Rückgabe von Links oder Anweisungen mit Codeausführung durchzuführen und administrative Kontrollen auszusetzen, die automatisierte Installationssuche und -operationen einschränken. Governance über "agenische Wege" - die Routen, die ein Agent zum Download und zur Ausführung eines Artefakts kommt - muss eine operative Priorität werden.

Für technische und risikoabhängige Geräte sind die sofortigen Maßnahmen klar: die Erstellung von Genehmigungslisten und Überprüfungsprozessen, die Sandbox neuer Integrationen, die Notwendigkeit von Signaturen und Metadaten aus der Quelle, die Anwendung von Endpunkten und die Netzwerkerkennung für SmartLoader / StealC-Muster und die Erarbeitung von Benutzern und Administratoren über das Risiko blind vertrauenswürdiger Agentenergebnisse. Auch die öffentlich-private Zusammenarbeit und der IOC-Austausch sind notwendig, um die Identifizierung und Blockierung ähnlicher Kampagnen zu beschleunigen.

FakeGit zwingte keinen komplexen technischen Bruch: Er nutzte Vertrauen, Automatisierung und Volumen. Die Lektion ist doppelt und dringend: Zum einen muss die Sicherheit der Lieferkette reifen (erforderliche Integrität und Rückverfolgbarkeit); zum anderen müssen IA-Systeme und Markplätze, die die Automatisierung erleichtern, Steuerungen entwerfen, so dass Autonomie nicht ein Weg wird, Malware auf einer Skala zu verbreiten. Weitere Informationen zu Praktiken und Anleitungen zum Schutz der Software-Versorgungskette finden Sie in GitHubs Dokumentation zur Versorgungskettensicherheit ( https: / / docs.github.com / en / code-security / Supply-chain-security) und in Verteidigungsinitiativen gegen Lieferkettenangriffe wie SLSA ( https: / / slsa.dev /)