Gli agenti AI diventano il nuovo bersaglio di FakeGit
La novità non è più il finto repo che inganna una persona, ma il fatto che ora può ingannare da solo un assistente AI. FakeGit sposta l’attacco su un punto più ampio: se un agente cerca skill o MCP server su GitHub, può finire per scegliere il repo malevolo e seguire il README senza che nessuno clicchi su un link.
I ricercatori hanno trovato quasi 7.600 repository malevoli, con oltre 800 esche per AI skills e MCP server. La campagna usa profili clonati, README credibili e archivi ZIP malevoli per distribuire SmartLoader, che poi apre la strada a StealC; i test citati indicano che Claude Code, Gemini e ChatGPT possono essere indotti a far emergere questi repo senza mostrare all’utente un collegamento.
Per i team che fanno affidamento su agenti collegati a GitHub, il perimetro non è più solo la verifica umana del repository: la discovery automatica è già una superficie d’attacco. Qui la portata conta più del singolo repo, perché la stessa esca può entrare nei flussi di sviluppo e diventare un canale diretto per il furto di credenziali.