FakeGit agentes IA autónomos transforman GitHub en vector de malware

Investigadores de ciberseguridad han identificado una campaña masiva que aprovecha GitHub como plataforma de distribución: casi 7.600 repositorios maliciosos creados por cerca de 6.600 perfiles, de los cuales más de 800 se hacen pasar por "skills" de IA o por servidores del llamado Model Context Protocol (MCP) para entregar un cargador inicial conocido como SmartLoader, que a su vez instala ladrones de información como StealC. Lo inquietante no es solo la cantidad, sino la mecánica: proyectos falsificados o clonados, perfiles que imitan a desarrolladores legítimos y README convincentes que inducen descargas de archivos ZIP troceados que activan una cadena de carga basada en LuaJIT para ejecutar código ofuscado.

La campaña, apodada FakeGit por los investigadores, ha explotado la demanda real por integraciones y herramientas de IA —desde conectores para Gmail y WhatsApp hasta utilidades para Jenkins, Docker y Databricks— y ha logrado más de 14 millones de descargas a través de los assets de GitHub Release en unos pocos repositorios de campaña. El atractivo funcional y la familiaridad con nombres y flujos de trabajo reales fueron suficientes para legitimar la descarga del ZIP malicioso.

Más alarmante aún es la evolución denominada AgentBaiting: agentes de IA autónomos (los "assistants" que buscan e instalan skills o servidores MCP) pueden descubrir por sí mismos estos repositorios, leer el README como si fuera documentación auténtica y ejecutar instrucciones maliciosas sin intervención humana. Pruebas indican que modelos como Anthropic Claude Code, Google Gemini y OpenAI ChatGPT pueden ser engañados para exponer o recomendar estos repositorios, lo que transforma una técnica de ingeniería social dirigida a humanos en un vector que opera a escala y sin supervisión.

Este cambio de paradigma tiene implicaciones serias para la seguridad del software y la confianza en los registros públicos. Cuando la búsqueda y la instalación las realiza un agente, todas las defensas tradicionales que dependen de la revisión humana dejan de funcionar. Además, la presencia de estos artefactos en mercados y listados públicos (LobeHub, Glama, MCP.so, MCP Market, etc.) añade una capa de legitimidad aparente que dificulta la detección y aumenta el alcance.

Las defensas deben actuar en múltiples frentes. En el plano operativo, las organizaciones deben crear y mantener un catálogo verificado de skills, servidores MCP y complementos aprobados, probar cualquier nueva capacidad de agente en entornos aislados y aplicar el principio de privilegio mínimo a las cuentas y agentes que puedan descargar o ejecutar código. Es imprescindible exigir firmas de código y artefactos reproducibles, aplicar políticas que bloqueen descargas y ejecuciones automáticas por parte de agentes y auditar las rutas de ejecución y exfiltración en tiempo real con EDR y control de egress.

Los desarrolladores y repositorios públicos también tienen responsabilidad: la adopción de prácticas de integridad de la cadena de suministro (por ejemplo, firmar releases, proporcionar SBOM y seguir marcos como SLSA) reduce la probabilidad de que artefactos maliciosos circulen como si fueran legítimos. Las plataformas que alojan registries de skills y MCP deberían introducir procesos mínimos de verificación de identidad y reputación, escaneo automatizado de artefactos y canales claros para reportar y retirar listados sospechosos.

Los proveedores de modelos de IA deben limitar la capacidad de los agentes para ejecutar acciones sin restricciones, implementar validaciones de procedencia antes de devolver enlaces o instrucciones que impliquen ejecución de código y exponer controles administrativos que restrinjan búsquedas y operaciones de instalación automatizada. La gobernanza sobre "agentic pathways" —las rutas por las que un agente llega a descargar y ejecutar un artefacto— debe convertirse en una prioridad operativa.

Para equipos técnicos y responsables de riesgo, las acciones inmediatas recomendadas son claras: establecer allowlists y procesos de revisión, sandboxear nuevas integraciones, exigir firmas y metadatos de procedencia, aplicar detección en endpoints y red para patrones de SmartLoader/StealC, y educar a los usuarios y administradores sobre el riesgo de confiar ciegamente en resultados de agentes. La colaboración pública-privada y el intercambio de IOC son también necesarios para acelerar la identificación y el bloqueo de campañas similares.

FakeGit no forzó una ruptura técnica compleja: aprovechó confianza, automatización y volumen. La lección es doble y urgente: por un lado, la seguridad de la cadena de suministro debe madurar (requerir integridad y trazabilidad); por otro, los sistemas de IA y los marketplaces que facilitan la automatización deben diseñar controles para que la autonomía no se convierta en una vía para propagar malware a escala. Más información sobre prácticas y guías para proteger la cadena de suministro de software puede encontrarse en la documentación de GitHub sobre seguridad en la cadena de suministro (https://docs.github.com/en/code-security/supply-chain-security) y en iniciativas de defensa contra ataques a la cadena de suministro como SLSA (https://slsa.dev/).