El ecosystema de herramientas de IA acaba de dar con una mina terrestre en la cadena de suministro. Investigadores de Island descubrieron casi 7.600 repositorios GitHub maliciosos, más de 800 de ellos disfrazados como habilidades de IA o servidores Model Context Protocol (MCP), propagando el malware SmartLoader en una campaña que denominan FakeGit. Y aquí está la revolución: ni siquiera necesitas ser engañado por el repositorio tú mismo. Los agentes de IA pueden ser engañados en tu nombre.
Esta es una nueva clase de ataque. No explota una vulnerabilidad de código. Explota la confianza en el agente de IA al que delegaste el descubrimiento.
Cómo funciona FakeGit
La mecánica es engañosamente simple. Los atacantes crearon aproximadamente 6.600 perfiles de GitHub que publicaban repositorios imitando integraciones de IA legítimas — asistentes de Gmail, conectores de WhatsApp, herramientas de Databricks, pipelines de Jenkins, automatización de Docker. Cada uno incluía README convincentes, identidades de desarrolladores legítimas prestadas y archivos ZIP cargados con SmartLoader.
Cuando un desarrollador (o un agente de IA) descubre el repositorio y sigue las instrucciones de instalación, el ZIP activa una cadena de carga LuaJIT que ejecuta un script ofuscado, despliega SmartLoader y luego instala StealC — un roba-informaciones que recopila credenciales del navegador, billeteras de criptomonedas, tokens de sesión y datos del sistema.
A partir de julio de 2026, la operación había acumulado más de 14 millones de descargas a través de los assets de GitHub Releases. Esa no es una pequeña campaña de phishing. Es engaño a escala industrial.
AgentBaiting: La evolución impulsada por IA
Aquí es donde FakeGit se vuelve genuinamente novedoso. Los investigadores de Island probaron si los agentes de codificación de IA podían ser engañados para descubrir y recomendar estos repos maliciosos sin ninguna indicación humana hacia un enlace malicioso específico.
Podían. Claude Code, Google Gemini y OpenAI ChatGPT todos mostraron repositorios FakeGit maliciosos de forma autónoma cuando se les hacían preguntas generales como "Encuentra un servidor MCP de Walmart gratuito" o "dame las instrucciones de instalación para una habilidad de prompt cinematográfico de Claude".
El término que le dieron: AgentBaiting (cebo para agentes). Un agente de IA, actuando en tu nombre, sale a buscar una herramienta, tropieza con un repositorio malicioso, lee el README del atacante como documentación legítima y pasa las instrucciones del atacante directamente a tu entorno de ejecución. Ningún humano inspeccionó la fuente. Ningún humano notó las señales de alerta. El agente hizo exactamente lo que se le pidió, y el malware pasó sin problemas.
La cadena de suministro se encuentra con el registro de IA
La campaña no se quedó en GitHub. Más de 600 listados de la operación fueron señalados en registros públicos de MCP y habilidades: LobeHub, Glama, MCP.so y MCP Market. Estos registros agregan y muestran capacidades de IA tanto a desarrolladores como a agentes. Al inundarlos con señuelos pulidos, los atacantes construyeron una falsa sensación de legitimidad que complementó el engaño de GitHub.
Este es el problema de la cadena de suministro, remixado para la era de la IA. En lugar de envenenar paquetes npm, envenenas el pipeline de descubrimiento que alimenta a los agentes de IA y a los desarrolladores que los usan.
Lo que tu equipo debe hacer ahora
Inventario tus herramientas de IA. Si tus desarrolladores o agentes están obteniendo servidores MCP o habilidades de IA de registros públicos sin revisión, tienes una puerta abierta. Construye un registro interno de capacidades revisadas y aprobadas.
Aísla los descubrimientos de los agentes. Cualquier agente de IA que descubra una nueva herramienta, repositorio o integración debe activar una evaluación en sandbox antes de que algo toque el código de producción o las credenciales.
Verifica editores y proyectos. Mira más allá del README. Revisa el historial de contribuidores, referencia cruzada perfiles, verifica patrones de commits. Los perfiles de FakeGit eran convincentes a primera vista pero colapsaban bajo un examen ligero. El problema era que nadie examinó.
Monitorea las rutas de los agentes. Registra lo que tus agentes descubren, recomiendan y ejecutan. La detección de anomalías aquí no se trata de firmas de código. Se trata de patrones de comportamiento que no coinciden con flujos de descubrimiento legítimos.
La conclusión
FakeGit no violó nada. No explotó un zero-day. Publicó repositorios convincentes, copió identidades de desarrolladores reales, se extendió por registros públicos y dejó que el descubrimiento hiciera el resto. Los agentes de IA, ansiosos por ayudar, hicieron el trabajo de entrega.
Esta es la forma de los ataques por venir. No exploits contra modelos, sino exploits a través de modelos — usando su utilidad, su autonomía y su acceso a tu cadena de herramientas como superficie de ataque.
Trata las recomendaciones de tu agente de IA de la misma manera que tratarías una memoria USB desconocida encontrada en el estacionamiento. La era de la confianza ciega en el descubrimiento asistido por IA ha terminado.