AIを騙してマルウェアを感染させる新手口：AgentBaiting ｜ブログ(ほぼこもセキュリティニュース)

GitHub上の大量の偽リポジトリを利用してマルウェアを拡散するキャンペーン「FakeGit」が、新たにAIサプライチェーン（AI SkillsやMCPサーバなど）に進出した実態と、AIエージェント自体を騙す新手口「AgentBaiting」がレポートされています。
特徴的な部分を見てみましょう。

攻撃の全体規模とAIエコシステムへの侵入
- 大規模な偽リポジトリ群
  約7,600個の悪意あるGitHubリポジトリ（約6,600のアカウント）が確認され、そのうち800個以上が「AI Skills」や「MCP（Model Context Protocol）サーバ」になりすましたものでした（ピークは2026年4月）。
- 莫大なダウンロード数
  FakeGitキャンペーン全体で、GitHubのRelease経由だけで1,400万回以上のダウンロードが記録されました。
- 公開ディレクトリへの拡散
  LobeHub、Glama、MCP.so などの公開MCP/Skillsディレクトリ・レジストリ上にも600件以上の悪意あるリストが掲載されていました。
新手口「AgentBaiting」とは？
従来の標的は「人間（開発者）」でしたが、今回の攻撃は「AIエージェント（Claude Code、Gemini、ChatGPTなど）」が自発的に悪意あるリポジトリを発見し、ユーザに推奨してしまう仕組みを利用しています。
- 仕組み
  ユーザがAIに「◯◯用のフリーのMCPサーバやSkillを探して」と依頼すると、AIエージェントがWeb検索やレジストリ経由でFakeGitの偽リポジトリを自発的に見つけ出します。
- AIの誤認
  AIエージェントはリポジトリのREADME（説明文）を本物のドキュメントとして解釈し、「ZIPファイルをダウンロードして実行してください」という攻撃者の指示をそのままユーザへインストール手順として渡してしまいます。
- 実験結果
  実験において、Claude Code、Gemini、ChatGPTのいずれも、リンクを提示していない状態から自発的に悪意あるリポジトリに到達し、ユーザに推奨・案内するケースが確認されました。
感染メカニズム（SmartLoader から StealC へ）
1. 偽のZIPファイル
  リポジトリのREADMEから配布されるZIPファイルには、一見するとツールに見えますが、実体は軽量ランチャー（.cmd等）、名前を変更したLua実行環境（luau.exe）、および難読化されたLuaスクリプト（.txtや.icoに偽装）のみが含まれています。
2. SmartLoaderの起動
  実行されると、SmartLoaderが永続化を確立し、GitHubや分散型ネットワーク（Polygonスマートコントラクト等）を経由して段階的にメインのペイロードを取得します。
3. StealCによる情報窃取
  最終的にインフォスティーラー型マルウェア「StealC」がメモリ上に注入・実行され、ブラウザに保存されたパスワード、クッキー、アクティブセッション、暗号資産ウォレット、SSHキーなどの機密データが窃取されます。

企業の開発者やセキュリティ担当者は対策を講じていきましょう。
まず、オープンな検索に依存せず、事前検査を通過した信頼できるAI SkillsやMCPサーバのみを集めた社内専用の管理カタログを構築・運用することが最優先となります。
次に、本物のツールはソースコードと設定ファイルで構成されるため、実行ファイル形式（.zipや.exeなど）でインストールを求めてくるツールは例外なく拒否・排除してください。
また、人間のWeb操作だけでなく、AIエージェントによる自動検索やファイルのダウンロード、設定変更の挙動にも人間と同等のログ監視とアクセス制御を適用することが不可欠です。
万が一感染や実行が疑われる場合は、単なるパスワード変更にとどまらず、盗まれた可能性のあるアクティブセッションやOAuthトークン、APIキーを即座に無効化（失効）する必要があります。

AgentBaiting: How 800+ Fake AI Skills and MCP Servers Delivered Malware
https://www.island.io/blog/agentbaiting-how-800-fake-ai-skills-and-mcp-servers-delivered-malware