La IA cayó en la trampa: miles de repositorios en GitHub distribuían un ladrón de datos camuflado
Nombres reales y estrellas falsas hicieron que el señuelo pareciera casi idéntico a un proyecto corriente.
La popularidad de las herramientas de IA convirtió a los catálogos de habilidades y a los servidores MCP en un nuevo punto de entrada para campañas maliciosas: así, la operación FakeGit utilizó alrededor de 7600 repositorios de GitHub para distribuir SmartLoader y el ladrón de datos StealC.
Según Island, más de 800 repositorios se hacían pasar por habilidades de IA y servidores MCP, que conectan modelos de lenguaje con herramientas externas. En catálogos públicos esos proyectos aparecieron en más de 600 ocasiones. Los especialistas denominaron la técnica «cebo para agentes». Las publicaciones falsas aumentaban la probabilidad de que los servicios de IA o los desarrolladores las encontraran y las tomaran por herramientas legítimas.
Los repositorios copiaban descripciones de Gmail, WhatsApp, Databricks, Jenkins y Docker, usaban nombres reales de desarrolladores, estrellas falsas y documentación verosímil. Los archivos README proponían descargar un ZIP supuestamente con el instalador o la versión del proyecto. En su interior había una carga útil de Lua disfrazada que ejecutaba SmartLoader.
Tras la ejecución, SmartLoader se afianzaba en el sistema mediante tareas programadas, obtenía la dirección del servidor de mando desde un contrato inteligente de Polygon y descargaba desde GitHub componentes adicionales cifrados. La etapa final consistía en la instalación de StealC, que roba datos del entorno infectado.
En pruebas controladas, ChatGPT, Gemini y Claude detectaron algunos repositorios maliciosos y en ocasiones proporcionaron instrucciones de instalación. En un caso, Claude Code clonó el proyecto y subió archivos a una máquina de prueba, pero luego identificó señales sospechosas y se detuvo antes de la ejecución. La verificación no evaluó la eficacia general de las defensas, por lo que no se puede concluir con ella cuán consistentemente los agentes de IA reconocen la amenaza.
Los contadores de GitHub mostraron más de 14 millones de descargas de archivos desde 211 repositorios; sin embargo, esa cifra incluye solicitudes repetidas y automáticas y no equivale al número de infecciones. Se recomienda a las organizaciones usar catálogos de habilidades y servidores MCP de confianza, probar los componentes nuevos en un entorno aislado y verificar por separado a los autores y los repositorios. Si se sospecha la ejecución de SmartLoader, todos los secretos en el entorno afectado deben reemplazarse de inmediato.