AIを騙す新手法「AgentBaiting」が判明、7600件超のGitHubリポジトリがマルウェア拡散に悪用される

要点

• 約7,600件の偽GitHubリポジトリが、マルウェア「SmartLoader」の拡散に悪用されている。

• AIエージェントがツール検索中に自ら偽リポジトリを発見して指示に従う「AgentBaiting」が確認された。

• テストにより、Claude CodeやGemini、ChatGPTなどの主要AIツールがこの攻撃の影響を受けると判明した。

• 偽ツールはLobeHubなどの公開レジストリにも登録され、累計1,400万回以上ダウンロードされている。

• 対策として、検証済みツールのカタログ化やサンドボックス評価、エージェント監視が推奨されている。

• GitHub上で7,600件を超える悪意あるリポジトリが発見され、うち800件以上がAI向けの機能拡張や「MCPサーバー」を偽装してマルウェア（悪意あるプログラム）を配布していることが判明した。「FakeGit」と呼ばれるキャンペーンでは、情報を検索するAIエージェント自身を騙す新手法が使われている。セキュリティ企業Islandの研究者が2026年7月20日、専門メディアのThe Hacker Newsを通じて調査結果を公開した。

「FakeGit」キャンペーンの全容と規模

攻撃キャンペーンの目的は、マルウェア「SmartLoader」を配布してシステムに侵入し、情報窃取ツール「StealC」などを送り込むことだ。StealCは、感染PCからログイン資格情報や個人情報などのデータを盗み出す。

Island社の研究者オレグ・ザイツェフ（Oleg Zaytsev）氏によると、攻撃者は既存プロジェクトのコピーや開発者プロフィールの偽装、もっともらしい説明書（README）ファイル、悪意あるZIPファイルを組み合わせている。

キャンペーンは大規模で、約6,600のプロフィールが悪用され7,600件のリポジトリが作成された。2026年7月時点で約200のリポジトリから合計1,400万回以上のダウンロードが確認されている。偽装ツールは、GmailやWhatsAppの連携から、DatabricksやDockerなどの企業向けツールまで多岐にわたる。

AIを直接騙す新手法「AgentBaiting」

懸念されているのが、AIエージェント（ユーザーに代わり自律処理を行うプログラム）を標的にする「AgentBaiting」と呼ばれる手法だ。AIエージェントがMCPサーバー（AIと外部ツールを接続する仕組み）などを検索する際、自発的に偽リポジトリを発見し、人間を介さずに攻撃者の指示通りに動いてしまう。

Island社のテストでは、Anthropicの「Claude Code」、Googleの「Gemini」、OpenAIの「ChatGPT」が影響を受けると確認された。AIは悪意あるリンクを提示されていなくても、検索の過程で自主的にキャンペーン関連のリポジトリを見つけ出してしまう。

例えば、ユーザーが「無料のプロンプトスキルを探して手順を教えて」などと指示すると、AIは自らFakeGitリポジトリを探索し、そのREADMEを正規のドキュメントとして処理して、そこに記載された悪意ある手順をそのままユーザーに提示する。

公開レジストリの悪用と攻撃プロセス

この脅威を助長しているのが、LobeHubやGlamaといったツール公開サイト（レジストリ）である。偽ツールが掲載されることで安全なツールであるかのような「偽の信頼性」が与えられ、すでに600件以上の登録が確認されている。

攻撃は偽リポジトリ内のZIPアーカイブのダウンロードから始まる。これがLuaJIT（軽量言語Luaの高速実行環境）による読み込みの連鎖を起動させ、難読化されたスクリプトを実行し、最終的にSmartLoaderやStealCを導入する。

ザイツェフ氏は「攻撃者は脆弱性を突いたのではなく、もっともらしいリポジトリを公開し、身元を騙ってレジストリに登録しただけで、あとは発見機能が自動的に感染を広げてくれた」と指摘する。

推奨されるセキュリティ対策

対策として、組織内で安全性を検証したツールのみを登録した「承認済みカタログ」の構築が推奨されている。また、新機能の導入前に隔離されたサンドボックス環境で挙動評価すること、提供元とプロジェクトの信頼性を検証すること、AIエージェントの処理経路を継続監視することが重要だ。

なお、偽装されたMCPサーバーを利用したマルウェア拡散については、2026年2月にStraiker AIやDerp.caからも警告されていた。今回のFakeGitキャンペーンは、その手口がさらに大規模化し、AIエージェントを狙う形へと進化したものとみられる。