FakeGitキャンペーン、7,600のGitHubリポジトリでSmartLoaderを拡散-AIエージェントを餌食にする新手口「AgentBaiting」の脅威|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

エンタープライズブラウザ企業のIslandは2026年7月21日、GitHub上に約7,600もの悪意あるリポジトリを設置し、SmartLoaderおよびStealCといったマルウェアを拡散する大規模キャンペーンFakeGitの調査結果を公表しました。これらのリポジトリの累計ダウンロード数は1,400万回を超えています。特に注目すべきは、7,600のうち800以上がAIのスキルやMCP(Model Context Protocol)サーバーを装っており、AIエージェントに自ら悪意あるリポジトリを発見・推奨させることを狙った、AgentBaiting(エージェント・ベイティング)と呼ばれる新しい攻撃手法が確認された点です。Islandの検証では、Claude Code、Gemini、ChatGPTといった主要なAIアシスタントが、悪意あるリンクを一切与えられていない状態でも、これらの偽リポジトリを発見してユーザーに推奨し、インストール手順まで提示してしまう事例が観測されました。従来、人間を標的にしてきたソーシャルエンジニアリングが、AIエージェントそのものを標的にする段階へと進化したことを示す、象徴的な事例です。

サマリー

Islandは2026年7月21日、GitHub上の約7,600の悪意あるリポジトリでSmartLoader・StealCマルウェアを拡散するFakeGitキャンペーンを公表しました
これらのリポジトリの累計ダウンロード数は1,400万回超(GitHubの公開ダウンロードカウンターの計測値)に達していますが、この数字は繰り返しのリクエストや自動アクセスを含むため、感染件数とは異なるとされています
7,600のうち800以上が、AIのスキルやMCPサーバーを装ったリポジトリで、公開AIレジストリやカタログに600回以上掲載されていました
攻撃者はこの手法をAgentBaitingと呼ばれる新技術として展開しており、AIエージェントに自ら悪意あるリポジトリを発見・推奨させることを狙っています
Islandの検証では、Claude Code・Gemini・ChatGPTがいずれも、悪意あるリンクを与えられていない状態で、関連タスクを指示された際に偽リポジトリを提示し、時にインストール手順まで伝えたことが確認されました
偽リポジトリは、Gmail・WhatsApp・Databricks・Jenkins・Dockerなどの実在ツールを模倣し、偽のスター数・フォーク数や本物の開発者アカウント名を用いて信頼性を偽装していました
実行されるとSmartLoaderが永続化を確立し、Polygonのスマートコントラクト経由でC2アドレスを取得したうえで、最終的に情報窃取型マルウェアStealCを展開します
このキャンペーンは、Trend Microが2025年にWater Kuritaと呼ぶ脅威アクターに帰属させた、Lumma Stealerを用いた古い作戦の継続とみられています

整理表

項目	内容
キャンペーン名	FakeGit
調査・公表元	Island(エンタープライズブラウザ企業)、研究者Oleg Zaytsev氏
公表日	2026年7月21日
悪意あるリポジトリ数	約7,600
うちAI関連(スキル・MCP偽装)	800以上(AI関連ツール全体では1,400以上)
累計ダウンロード数(計測値)	1,400万回超(感染数ではない)
公開AIレジストリ等への掲載	600回以上(LobeHub、Glama、MCP.so、MCP Market等)
主要な新手法	AgentBaiting(AIエージェントを餌食にする手口)
影響を受けたAIアシスタント(検証)	Claude Code、Gemini、ChatGPT
配布されるマルウェア	SmartLoader(ローダー)→StealC(情報窃取型)
C2取得の手法	Polygonのスマートコントラクト経由
模倣された実在ツール	Gmail、WhatsApp、Databricks、Jenkins、Docker等
関連する過去の作戦	Water Kurita(Trend Micro命名)によるLumma Stealer拡散作戦

FakeGitキャンペーンの手口-偽リポジトリによる信頼の偽装

FakeGitは、GitHub上に大量の偽リポジトリを作成し、それらを本物のプロジェクトに見せかけることでマルウェアを拡散する作戦です。Islandの主席セキュリティ研究者Oleg Zaytsev氏によれば、FakeGitは、コピーされたプロジェクト、実在の開発者に酷似した偽プロフィール、説得力のあるREADMEファイル、そして悪意あるZIPファイルを組み合わせて、SmartLoaderマルウェアを配布しています。

これらのリポジトリは、完全に一から捏造されたものか、あるいは正規のプロジェクトからコピーされたもので、Gmail・WhatsApp・Databricks・Jenkins・Dockerといった、個人・企業向けの実在するツールを模倣しています。信頼性を高めるため、偽のスター数やフォーク数、本物のプロジェクト説明文のコピー、実在する開発者のアカウント名などが用いられており、一見しただけでは正規のリポジトリと見分けることが困難です。ユーザー名を本物から一文字だけ変えることで、確立されたアカウントであるかのように偽装する手口も確認されています。

これらのリポジトリのREADMEファイルは、訪問者をインストーラーやプロジェクトのリリース版を装ったZIPアーカイブのダウンロードへと誘導します。実際にはこのZIPは偽装されたLuaペイロードであり、展開・実行するとSmartLoaderが起動します。SmartLoaderが起動すると、スケジュールされたタスクを通じて永続化を確立し、Polygonのスマートコントラクトを介してC2(指揮統制)アドレスを取得したうえで、GitHubから追加の暗号化されたステージをダウンロードし、最終的に情報窃取型マルウェアStealCを送り込みます。当サイトで既報のOperation EndgameでSmartLoaderと関連の深いStealC・Amadeyの犯罪インフラが一斉停止された事案でも触れたとおり、StealCは認証情報・Cookie・ブラウザ保存パスワード・暗号資産ウォレットなどを狙う、コモディティ化した情報窃取型マルウェアです。

AIエージェントを標的にする新手法「AgentBaiting」

FakeGitキャンペーンで最も注目すべき進化が、Islandが名付けたAgentBaiting(エージェント・ベイティング)と呼ばれる新しい手法です。これは、悪意あるリポジトリのAIエージェントに対する可視性を高め、実際に使われる可能性を引き上げることを狙った技術です。

従来のソーシャルエンジニアリングでは、攻撃者は人間のユーザーを騙して悪意あるリンクをクリックさせたり、ファイルをダウンロードさせたりする必要がありました。しかしAgentBaitingでは、リンクを人間に送りつける必要すらありません。AIエージェントが新しい機能(スキルやMCPサーバー)を探している過程で、通常の検索やレジストリの参照といった正常な動作を通じて、自ら悪意あるリポジトリに行き当たってしまうのです。エージェントは攻撃者が書いたREADMEを正規のドキュメントとして解釈し、そのリポジトリやZIPファイルを人間の操作者に推奨し、時にはインストール手順まで伝えてしまいます。

Islandの検証では、ChatGPT・Gemini・Claudeがいずれも、関連するタスクを指示された際に、悪意あるリンクを一切与えられていないにもかかわらず、さまざまな悪意あるリポジトリを提示しました。例えば、無料のWalmart向けMCPサーバーのリンクを求めるプロンプトに対し、Geminiは悪意あるリポジトリを、AIエージェントをWalmartのデータに接続する完全無料のオープンソースサーバーだと紹介し、そのGitHubページを直接指し示したとされています。この手法を成立させるため、攻撃者は800以上のAI関連リポジトリを公開AIレジストリ・カタログに掲載しており、LobeHub、Glama、MCP.so、MCP Marketといった実在のサービスに600回以上リストされていたことが確認されています。攻撃者がこれらの登録を手動で行ったのか自動的にインデックスされたのかは特定できていないものの、その存在がリポジトリの発見を容易にし、信頼性を高める役割を果たしていたとIslandは指摘しています。

Claude Codeの検証結果-クローンはしたが実行前に停止

IslandがBleepingComputerに語ったところによれば、限定的かつ管理された環境での検証において、Claude Codeは悪意あるリポジトリをクローンし、悪意あるファイルをテスト用マシンにダウンロードしました。ただし、その後エージェントは不審な兆候を検知し、実行前に停止したとされています。

この検証は検知率を確立するために設計されたものではないため、コーディングエージェントが実行段階で危険を一貫して認識できるかどうかについて、決定的な結果を示すものではないとIslandは慎重に付言しています。とはいえ、AIエージェントが悪意あるリポジトリを推奨・クローンしうる一方で、実行の直前に踏みとどまる場合もあるという結果は、AIエージェントの安全機構の現状と限界の両面を示すものとして注目されます。当サイトで既報のHugging Faceが公表した自律型AIエージェントによる侵害インシデントや、Anthropicが阻止したClaude Codeを悪用した大規模サイバースパイ活動ともあわせて考えると、AIエージェントは攻撃の道具として悪用される側面と、攻撃の標的そのものになる側面の両方を持つことが、改めて浮き彫りになっています。

AIエコシステムへの汚染という新しい攻撃対象領域

今回のFakeGitキャンペーンが突きつけているのは、AIのスキルやMCPサーバーといった新しいエコシステムが、従来のセキュリティ対策では十分に監視されていない攻撃対象領域になっているという現実です。

Islandをはじめとする研究者が警告するとおり、SIEM(セキュリティ情報イベント管理)、DLP(データ損失防止)、脆弱性スキャナーといった従来型のセキュリティ製品は、MCPサーバーをインベントリに登録したり、AIアシスタントが何に接続しているかを監視したりすることがほとんどありません。しかし、こうしたコネクターは、クラウドのトークン、ビルドパイプライン、本番環境のデータ経路に直接アクセスする権限を持ちうるものです。つまり、監視の空白地帯にありながら、極めて高い権限を持つ経路が生まれているということです。当サイトで既報のGitHubのAgentic Workflowsに見つかった脆弱性GitLostや、X(旧Twitter)公式MCPサーバーの提供開始に伴うセキュリティ上の留意点でも指摘してきたとおり、MCPを軸としたAIエージェントの連携機能は、利便性と引き換えに新たな攻撃対象領域を生み出しています。

なお、トロイの木馬化されたMCPサーバーを用いたSmartLoader・StealCの配布自体は、2026年前半にStraiker AI、続いてDerp.caによって既に指摘されていたものであり、今回のFakeGitは、それがAIエージェントを能動的に誘導するAgentBaitingという形へと進化した点で新しいといえます。

情報システム部門への示唆

今回のFakeGitキャンペーンとAgentBaiting手法は、情報システム部門にとって、AIエージェントの活用が進む組織における新しいリスクを具体的に示しています。

第一に、AIの機能(スキル・MCPサーバー・エージェントプラグイン)を、便利なプラグインではなくサプライチェーンの構成要素として扱うという発想の転換が求められます。Islandは、組織が承認済みのスキル・MCPサーバーのカタログを整備すること、新しい機能を隔離された環境で検証すること、そして発行元とリポジトリを独立して検証することを推奨しています。開発者やAIエージェントが自由に外部のMCPサーバーやスキルを導入できる状態は、今回のような攻撃の格好の標的になります。

第二に、AIアシスタントの推奨を無批判に信頼しないという運用上の注意です。ChatGPTやGemini、Claudeといったツールが提示するリポジトリやインストール手順であっても、それが本当に正規の発行元によるものかを、人間が独立して検証するプロセスを組み込むことが重要です。特に、AIエージェントに開発タスクを委ねる場合、エージェントが自律的にダウンロード・実行まで進んでしまう可能性を踏まえ、実行前の承認ゲートを設けることが有効です。

第三に、万が一SmartLoaderの実行が疑われる場合の対応です。Islandは、影響を受けた環境のすべてのシークレット(認証情報・トークン等)を直ちにローテーションすることを推奨しています。SmartLoaderは最終的にStealCによる認証情報窃取につながるため、感染が疑われた時点で、被害端末からアクセス可能だったクラウドサービスや開発基盤の認証情報を速やかに無効化・再発行することが、二次被害を防ぐうえで重要です。