Eine neue Angriffsmethode zeigt, dass künftig nicht mehr nur Menschen auf Phishing oder manipulierte Downloads hereinfallen – sondern auch KI-Agenten. Sicherheitsforscher von Island haben eine groß angelegte Kampagne mit dem Namen „FakeGit“ aufgedeckt, bei der Angreifer tausende gefälschte GitHub-Repositories erstellen, um sowohl Entwickler als auch KI-Assistenten zur Installation von Malware zu verleiten. Die Forscher bezeichnen die neue Angriffstechnik als „AgentBaiting“.
Mehr als 7.600 gefälschte GitHub-Repositories entdeckt
Im Mittelpunkt der Kampagne stehen rund 7.600 manipulierte GitHub-Repositories, die von etwa 6.600 gefälschten Entwicklerkonten veröffentlicht wurden. Über 800 dieser Projekte geben sich als KI-Skills, Agenten-Erweiterungen oder Model-Context-Protocol (MCP) -Server aus – also genau jene Komponenten, die moderne KI-Agenten nutzen, um neue Funktionen zu erhalten.
Die Angreifer kopieren dabei bestehende Open-Source-Projekte, übernehmen Dokumentationen und erzeugen täuschend echte README-Dateien. Für Entwickler und KI-Systeme wirken diese Repositories dadurch wie seriöse Softwareprojekte.
Wenn KI-Agenten selbst zur Falle werden
„AgentBaiting“ – Besonders brisant ist der Angriffspfad. Während klassische Supply-Chain-Angriffe darauf abzielen, einen Entwickler zum Download einer manipulierten Software zu bewegen, richtet sich „AgentBaiting“ direkt gegen KI-Assistenten.
Erhält beispielsweise ein Coding-Agent den Auftrag, einen kostenlosen MCP-Server oder eine Erweiterung für Claude, ChatGPT oder Gemini zu finden, durchsucht er öffentliche Plattformen wie GitHub oder MCP-Marktplätze. Genau dort platzieren die Angreifer ihre präparierten Projekte. Der KI-Agent bewertet diese als vertrauenswürdig, übernimmt die Installationsanleitung aus der README-Datei und empfiehlt sie anschließend dem Nutzer – ohne dass ein schädlicher Link vorgegeben werden muss.
Die Forscher konnten nach eigenen Angaben nachweisen, dass Claude-Code, Google-Gemini und ChatGPT unter bestimmten Bedingungen auf diese Weise manipulierte Repositories als vermeintlich legitime Empfehlungen ausgeben können.
Smartloader öffnet die Tür für weitere Malware
Folgt ein Nutzer den Installationsanweisungen, beginnt eine mehrstufige Malware-Kette. Über präparierte ZIP-Dateien wird zunächst Smartloader installiert. Die Schadsoftware dient als Loader und lädt anschließend weitere Malware nach – darunter den bekannten StealC-Infostealer, der Zugangsdaten, Browser-Cookies, aktive Sitzungen und zahlreiche weitere Informationen von kompromittierten Systemen stehlen kann.
Gerade Entwicklerrechner stellen dabei ein besonders attraktives Ziel dar. Sie enthalten häufig SSH-Schlüssel, API-Tokens, Cloud-Zugangsdaten, GitHub-Credentials sowie Konfigurationen für Entwicklungs- und KI-Werkzeuge. Gelangen Angreifer an diese Informationen, kann sich der Angriff schnell auf Build-Pipelines, Cloud-Umgebungen oder komplette Software-Lieferketten ausweiten.
Öffentliche MCP-Marktplätze verstärken das Problem
Die Kampagne beschränkt sich nicht auf GitHub. Nach Angaben der Forscher wurden über 600 gefälschte Einträge zusätzlich in öffentlichen Verzeichnissen für KI-Skills und MCP-Server veröffentlicht. Plattformen wie LobeHub, Glama, MCP.so oder MCP-Market übernehmen teilweise automatisch Projektbeschreibungen und Download-Links. Dadurch entsteht für Nutzer und KI-Agenten der Eindruck, es handele sich um geprüfte und vertrauenswürdige Erweiterungen.
Ein neues Kapitel der Supply-Chain-Angriffe
AgentBaiting zeigt, wie sich die Bedrohungslage mit der zunehmenden Verbreitung autonomer KI-Agenten verändert. Während bisher vor allem Menschen Ziel von Social-Engineering-Kampagnen waren, richten Angreifer ihre Strategien nun gezielt auf die Such- und Entscheidungsmechanismen von KI-Systemen aus. Die eigentliche Manipulation erfolgt nicht mehr über den Nutzer, sondern über die Empfehlungen des KI-Assistenten.
Sicherheitsforscher sprechen deshalb bereits von einer neuen Form des KI-gestützten Supply-Chain-Angriffs, bei dem die Vertrauenswürdigkeit von Agenten selbst zur Angriffsfläche wird. Studien und aktuelle Sicherheitsanalysen weisen seit Monaten darauf hin, dass insbesondere MCP-Server und KI-Erweiterungen ein bislang nur unzureichend geschütztes Ökosystem bilden.
Unternehmen sollten KI-Agenten stärker kontrollieren
Island empfiehlt Unternehmen, KI-Agenten künftig nicht mehr eigenständig nach Erweiterungen oder MCP-Servern suchen zu lassen. Stattdessen sollten ausschließlich freigegebene und geprüfte Erweiterungen in internen Katalogen bereitgestellt werden. Neue Skills und MCP-Server sollten zunächst in isolierten Testumgebungen überprüft, Herausgeber verifiziert und Installationsanleitungen kritisch bewertet werden. Ebenso wichtig ist die kontinuierliche Überwachung der Aktivitäten von KI-Agenten innerhalb der Entwicklungsumgebung.
Fazit
Die „FakeGit“-Kampagne markiert einen Wendepunkt für die Sicherheit agentischer KI-Systeme. Erstmals zeigen Sicherheitsforscher, wie Cyberkriminelle nicht nur Menschen, sondern auch KI-Agenten gezielt manipulieren können, um Schadsoftware in Unternehmensnetzwerke einzuschleusen. Mit der zunehmenden Verbreitung von Model-Context-Protocol (MCP), autonomen Coding-Assistenten und KI-gestützten Entwicklungsplattformen entsteht damit eine völlig neue Angriffsklasse. Unternehmen müssen ihre Sicherheitsstrategien deshalb erweitern: Nicht nur der Quellcode und die Software-Lieferkette benötigen Schutz – sondern künftig auch die Entscheidungen, die KI-Agenten im Auftrag ihrer Nutzer treffen.
#Island
