Ein Entwickler bittet seinen Coding-Agenten, einen kostenlosen MCP-Server für eine bekannte Plattform zu finden. Der Agent sucht im Web, landet bei einem professionell wirkenden GitHub-Repository und übernimmt die Installationsanleitung aus der README. Was nach normaler Recherche klingt, kann inzwischen eine Malware-Kette auslösen. Angreifer optimieren Repositories nicht mehr nur für menschliche Nutzer, sondern auch für die Such- und Auswahlprozesse von KI-Agenten.
Genau dieses Risiko beschreibt Island Security in einer am 20. Juli 2026 veröffentlichten Untersuchung. Die Forscher ordnen rund 7.600 bösartige GitHub-Repositories der Kampagne „FakeGit“ zu. Mehr als 800 davon tarnten sich als AI-Skills oder Model-Context-Protocol-Server. Island nennt die agentenspezifische Variante „AgentBaiting“: Der Agent findet den Köder selbst, behandelt Angreifer-Dokumentation als vertrauenswürdige Anleitung und bringt sie in den Arbeitsablauf des Nutzers.
Wie aus einer README eine Malware-Installation wird
FakeGit baut Vertrauen in mehreren Schritten auf. Die Betreiber kopieren bestehende Projekte oder erfinden plausible neue Tools. Sie nutzen ähnlich aussehende Entwicklerprofile und veröffentlichen README-Dateien, die auf den ersten Blick seriös wirken. Die Installationsanleitung führt aber nicht zu einem echten Skill oder MCP-Server, sondern zu einem ZIP-Archiv. Island analysierte etwa ein angebliches Databricks-MCP-Paket, das weder MCP-Manifest noch Servercode enthielt. Im Archiv lagen nur ein Startskript, eine umbenannte LuaJIT-artige Laufzeit und ein stark verschleiertes Lua-Programm.
Nach der Ausführung beginnt die SmartLoader-Kette. Laut der technischen Analyse von Derp.ca kann der Loader seine aktuelle Command-and-Control-Adresse über einen Smart Contract im Polygon-Netz beziehen, Persistenz über geplante Aufgaben unter %LOCALAPPDATA% einrichten und verschlüsselte weitere Stufen von GitHub nachladen. Am Ende steht StealC, ein Information Stealer. Die Malware zielt unter anderem auf Browser-Passwörter, Cookies, aktive Sitzungen, Browser-Erweiterungsdaten, E-Mail- und Remote-Zugangsdaten, Screenshots und Systeminformationen.
Für Unternehmen ist das besonders brisant. Auf Entwicklerrechnern liegen oft nicht nur Browser-Sitzungen, sondern auch SSH-Schlüssel, Cloud-Tokens, Git-Zugänge, Paketregistry-Credentials und lokale Konfigurationen für KI-Tools. Wird ein solches System kompromittiert, bleibt der Schaden daher nicht zwingend auf einen Endpoint begrenzt. Er kann Quellcode, Build-Pipelines, SaaS-Konten und Cloud-Umgebungen erreichen.
Zahlen zeigen Reichweite, aber nicht automatisch Opfer
Island bestätigte nach eigenen Angaben rund 7.600 bösartige Repositories, erstellt von etwa 6.600 Profilen. Rund 1.400 Repositories bezogen sich auf KI-Tools, Agenten oder Workflows; mehr als 800 gaben sich konkret als Skills oder MCP-Server aus. Über 600 Kampagnen-Listings erschienen außerdem in öffentlichen Skill- und MCP-Katalogen. Einige Kataloge übernahmen die README samt Download-Link und verstärkten so den Eindruck einer geprüften Erweiterung.
Die Untersuchung nennt zudem mehr als 14 Millionen gemessene Downloads von GitHub-Release-Assets in etwa 200 Kampagnen-Repositories. Diese Zahl zeigt Reichweite, ist aber kein belastbarer Opferzähler. Downloads können automatisiert, mehrfach oder durch Analyse- und Scanning-Systeme ausgelöst worden sein. Umgekehrt erfassen öffentliche Release-Zähler ZIP-Dateien nicht vollständig, wenn sie direkt im Repository abgelegt wurden. Seriös lässt sich deshalb nur sagen: Die Verteilung war groß. Wie viele Systeme tatsächlich kompromittiert wurden, bleibt öffentlich offen.
Derp.ca hatte bereits seit März 2025 eine LuaJIT-basierte FakeGit-Kampagne und mehr als 600 unterschiedliche bösartige ZIP-Archive dokumentiert. Island zeigt nun, wie sich die Kampagne in das Ökosystem agentischer Fähigkeiten ausweitet. The Hacker News bestätigte am 20. Juli die Kernaussagen und ordnete SmartLoader sowie StealC in die laufende Kampagne ein.
Was AgentBaiting technisch neu macht
Bei klassischem Typosquatting oder Social Engineering muss ein Mensch einen falschen Namen eingeben, einer Werbung folgen oder eine überzeugende Anleitung akzeptieren. AgentBaiting verlagert diesen Entdeckungsschritt. Das Modell beziehungsweise sein Recherchewerkzeug sucht selbst nach einer passenden Fähigkeit. Damit können Suchergebnis, Registry-Eintrag und README gemeinsam Teil der Angriffskette werden.
Island testete entsprechende Anfragen mit Claude Code, Gemini und ChatGPT. In einzelnen Versuchen fanden die Systeme bösartige Kampagnen-Repositories, obwohl ihnen zuvor kein schädlicher Link vorgegeben worden war. Ein Agent empfahl etwa ein angebliches kostenloses Walmart-MCP-Angebot. In einem anderen Test gab ein System die Anweisung weiter, eine EXE aus GitHub Releases zu laden und trotz Windows-Warnung auszuführen. In weiteren Durchläufen erkannte ein Agent verdächtige Inhalte und verweigerte die Empfehlung. Gerade diese Schwankung ist sicherheitsrelevant: Bei vielen Anfragen und Tausenden Ködern reicht ein gelegentlicher Fehler.
Die Ergebnisse bedeuten allerdings nicht, dass die genannten Modelle generell jede bösartige Erweiterung empfehlen oder automatisch ausführen. Zwischen Empfehlung und Kompromittierung stehen weiter Konfiguration, Nutzerfreigaben und Endpoint-Kontrollen. Riskant wird die Kombination aus offener Websuche, ungeprüfter Registry, Ausführungsrechten und einem Arbeitsplatz mit wertvollen Zugangsdaten.
Konkrete Implikationen für Unternehmen
- *Erstens: Skills und MCP-Server brauchen einen freigegebenen Katalog.** Unternehmen sollten Herkunft, Besitzer, Repository, Commit, Version und Hash dokumentieren. Agenten dürfen neue Erweiterungen nicht beliebig aus dem Web installieren. Öffentliche Registries sind Discovery-Dienste, keine Sicherheitszertifikate.
- *Zweitens: Installation und Evaluation gehören in eine isolierte Umgebung.** Neue Fähigkeiten sollten zunächst in kurzlebigen Sandboxen laufen — ohne produktive Browser-Sitzungen, SSH-Schlüssel, Cloud-Credentials oder interne Daten. Ein vermeintlicher MCP-Server, der nur als Windows-ZIP mit Startskript und verschleierter Binär- oder Lua-Komponente geliefert wird, ist ein klares Stoppsignal.
- *Drittens: Externe Dokumentation bleibt untrusted Input.** README-Dateien, Marketplace-Beschreibungen und Installationshinweise dürfen nicht dieselbe Autorität erhalten wie interne Policies. Befehle aus frisch abgerufenen Quellen sollten Bestätigung, Policy-Prüfung und idealerweise statische oder dynamische Analyse erfordern. „Auto-run“- oder „skip permissions“-Modi sind auf produktiven Entwicklerrechnern besonders riskant.
- *Viertens: Monitoring muss den Agentenpfad sichtbar machen.** Security-Teams sollten protokollieren, wonach ein Agent gesucht, welche URL er ausgewählt und welchen Download oder Prozess er angestoßen hat. Änderungen an Skill-Verzeichnissen, MCP-Konfigurationen und Agenten-Plugins gehören ebenso ins Monitoring wie ungewöhnliche ZIP-Downloads, Launcher-Skripte und neue geplante Aufgaben.
- *Fünftens: Bei Verdacht reicht ein Passwortwechsel nicht.** Da StealC aktive Sitzungen und Tokens entwenden kann, sollten betroffene Endpoints isoliert werden. Browser-Sessions, OAuth-Grants, API-Tokens sowie Cloud- und Entwicklerzugänge müssen widerrufen beziehungsweise rotiert werden.
Risiken und Limitierungen
Die Untersuchung stammt von einem Sicherheitsanbieter und stützt sich teilweise auf eigene Messungen und Modelltests. Download-Zahlen sind nicht mit erfolgreichen Infektionen gleichzusetzen. Öffentliche Informationen erlauben auch keine Aussage darüber, ob Unternehmen flächendeckend betroffen sind. Zudem ist AgentBaiting kein rein modellinternes Problem: Suchindizes, Registry-Prüfung, Berechtigungen und Endpoint-Schutz bestimmen den Ausgang mit.
Trotzdem ist die Kampagne mehr als eine theoretische Prompt-Injection. Die bösartigen Repositories, Malware-Archive und Verteilungswege existieren real. Neu ist die industrielle Anpassung an die Art, wie Agenten Fähigkeiten entdecken, bewerten und operationalisieren.
Fazit
FakeGit zeigt, dass die Lieferkette für KI-Agenten zu einem eigenen Angriffsziel geworden ist. Entscheidend ist nicht nur, ob ein Skill schädlichen Code enthält. Entscheidend ist auch, wie ein Agent ihn findet, einordnet und in einen ausführbaren Workflow überführt. Unternehmen sollten Discovery, Herkunftsprüfung, Installation, Rechte und Telemetrie deshalb als zusammenhängende Kontrollkette behandeln. Ein Agent darf suchen und beraten. Software aus dem offenen Internet sollte er aber nicht ungeprüft in eine vertrauenswürdige Arbeitsumgebung bringen.
Quellen
- Island Security, „AgentBaiting: How 800+ Fake AI Skills and MCP Servers Delivered Malware“, 20. Juli 2026:
- Derp.ca, „FakeGit: LuaJIT malware distributed via GitHub at scale“, technische Kampagnenanalyse:
- The Hacker News, „FakeGit Campaign Uses 7,600 GitHub Repositories to Spread SmartLoader Malware“, 20. Juli 2026:
