あなたはコーディングエージェントにスキルを探すよう頼んだ。エージェントは検索し、ドキュメントのように見える README を読み、ZIP をダウンロードして実行するよう告げた。誰も悪いリンクを送っていない。エージェントが自らマルウェアを見つけて推薦した——そしてあるテスト実行では、リポジトリをクローンし、ファイルをあなたの代わりに実行した。

2026年7月21日、Island は FakeGit と呼ぶキャンペーン——そして AgentBaiting と名付けた配送手口 ——に関する調査を公開した。数字は大きい。約6,600 のアカウントにまたがる 約7,600 個の悪意ある GitHub リポジトリ、そのうち 800 個超が AI スキルや MCP サーバーを装う。Gmail や WhatsApp の連携、Databricks、Jenkins、 Docker のツール——開発者がコーディングエージェントに探させる種類の機能だ。さらに 600 個超が LobeHub、Glama、MCP.so、MCP Market といった公開 AI レジストリにも掲載されていた。7月までに、約200 個のサブセットが、リリース資産の 1,400 万回超のダウンロード を記録していた。

ペイロードは SmartLoader という Windows ローダーで、永続化を確立し、情報窃取ツール StealC を引き込む。マルウェアはありふれた部分だ。それがどうやってあなたに届くかが、新しい部分だ。

AgentBaiting——エージェントが配送経路だ

サプライチェーン攻撃はかつて餌を必要とした——メールのリンク、打ち間違えたタイポスクワットのパッケージ名、クリックした検索結果。FakeGit はこの段階から人間を取り除く。Island の指摘は彼らの言葉でこうだ。「AI エージェントは悪意あるリンクを与えられる必要はない。自ら FakeGit リポジトリを発見し、 README を正当なドキュメントとして扱い、攻撃者の指示をユーザーに渡すことができる。」

彼らは実際のエージェントで検証した。

Claude Code に「無料のシネマティックプロンプトのスキルを探して」と頼むと、adlaiponderous700/claude-skill-cinematic-prompt を浮上させ、一部の実行ではダウンロードして実行する手順を推薦した。
Gemini に「無料の Walmart MCP サーバー」を頼むと、 DomingosNgongo/walmart-mcp を GitHub への直接リンク付きで最上位の結果として返した。
ChatGPT は同じリポジトリを選択肢に挙げ、「始めるのに最適な場所」だと名指しした。

いずれもリンクを渡されてはいない。エージェントは機能を探しに行き、通常の検索とレジストリ閲覧を通じてキャンペーンのリポジトリを見つけ、攻撃者が書いた README を、あらゆるドキュメントを読むのと同じように——事実として——読んだ。リポジトリはまさにその読み手向けに装われている。 Mann1988/awesome-claude-skills は本物の ComposioHQ/awesome-claude-skills(スター67,000 超)を複製し、確立されたように見せるため 63 スターと 18 フォークで水増しする。ユーザー名は既知のメンテナーとわずか一文字違いだ。README は読み手を三段階で導く。GitHub Releases から ZIP をダウンロードし、実行し、セキュリティ警告をクリックでやり過ごし、セットアップウィザードに従え、と。

そして少なくとも一度の実行で、Island の報告によれば、Claude Code は推薦で止まらなかった——インジケーターの何かが停止させるまで、「悪意あるリポジトリをクローンし、悪意あるファイルをテストマシンにダウンロードした」。攻撃表面の全体が一文に収まる。日常のタスクをこなすエージェントが、ペイロードを自らディスクへ降ろしたのだ。

実際に着地するもの

ZIP はソースコードではない。Island は手がかりについて率直だ。「正当な MCP サーバーやスキルはマニフェスト付きのソースコードであって、ランチャースクリプト、名前を変えたランタイム、テキストファイルに偽装したペイロードを収めた Windows の ZIP ではない。」server_databricks_mcp_1.6.zip のような FakeGit リリースの中には、小さな .cmd または .bat ランチャー、名前を変えた LuaJIT 系ランタイム(luau.exe)、そしてデータファイルの名前をまとった約300 KB の難読化 Lua ペイロード——ico64.txt——がある。ランチャーは start luau.exe ico64.txt を実行し、コンソールウィンドウは自ら隠れ、 SmartLoader は次を行う。

コマンド&コントロールのアドレスを Polygon スマートコントラクト に格納された値から解決する——分散型で、テイクダウンしにくい。
再起動を生き延びるため %LOCALAPPDATA% 配下にスケジュールタスク を登録する。
GitHub から暗号化されたステージを引き込み、PE クリプター経由で StealC を別プロセスに注入する。

すると StealC はインフォスティーラーがすることをする、そして少しばかり悪辣に。ブラウザのパスワードとクッキー、拡張機能のデータ、メールとリモートアクセスの認証情報、スクリーンショット、ホストの詳細——そして アクティブなセッション を奪う。この最後の点に関する Island の注記が効いてくる。「StealC はパスワードだけでなくライブセッションを奪うため、パスワードのリセットだけでは不十分だ。」盗まれたセッショントークンは、すでにあなたのログインの先にある。

AgentBaiting は人間の餌なしにループを閉じる。エージェントは機能を探し、FakeGit リポジトリを自ら見つけ、攻撃者の README をドキュメントとして読み、インストール手順を推薦するか、自らクローンして実行する。あなたのマシンで走る通常の構成では、Windows ローダーが実行され、StealC が本物のパスワードとライブセッションをかき集め、戦利品が持ち出される。

なぜリポジトリの検証が答えの全体だったことは一度もないのか

本能はこう働く——悪いリポジトリを捕まえろ。偽名にフラグを立て、README を採点し、アカウントをブロックリストに入れろ、と。Island 自身の助言は、もっと難しいところを指す。「ユーザーが使う経路だけでなく、エージェントが使う経路を監視せよ。AgentBaiting とは、ダウンロード、git clone、シェルコマンドが、日常のタスクを完了するエージェントから発生しうることを意味する。」エージェントの検索は、人間のチェックポイントを置ける経路ではない。それはマシンの速度で、ほぼ同一の数千のリポジトリを横断して走り、見つけたものを何であれドキュメントとして扱う。それが仕事だからだ。

これはエージェント型セキュリティの残りが繰り返しぶつかる同じ壁だ。コマンドを読む拒否リストはそれを書き換えるシェルに敗れる。パッケージを読むスキャナーはパッケージにないペイロードに敗れる。そしてマルウェアを見つけるためのレビューは見つけるよう送られたマルウェアを実行する。 FakeGit はもう一つ加える。攻撃者の README を真実として扱う推薦エンジンだ。どれもが、悪いものが 記述される 場所にフィルターを置き、悪いものが 実行される 前に捕まえようと期待する。記述は攻撃者が書くものだ。実行こそ、結果が決まる唯一の場所だ。

Bromure が線を引く場所

Bromure Agentic Coding は、エージェントの検索結果を出し抜こうとはしない。唯一重要な瞬間——推薦されたものが実行される時——に起きることを変える。 Bromure が走らせるすべてのエージェント——Claude Code、Codex、Grok Build ——は、macOS そのものではなく、あなたの Mac 上の使い捨て Linux VM 内で走る。だからエージェントが FakeGit リポジトリをクローンし、Island が Claude Code で観察したように ZIP を実行するとき、すでに三つのことが真である。

第一に、**ペイロードは不活性だ。**SmartLoader は Windows プログラムだ。 .bat ランチャー、luau.exe ランタイム、PE クリプターによる注入、 %LOCALAPPDATA% 配下のスケジュールタスク。Bromure のエージェントは Linux で走る。.cmd ランチャーにはインタプリタがなく、luau.exe と注入された StealC の PE は実行されず、永続化が取り付く %LOCALAPPDATA% も Windows タスクスケジューラも存在しない。ある OS 向けにコンパイルされた攻撃が別の OS で走り、自分に扱える何一つ見つけられない。

第二に、**奪うべき本物の認証情報がない。**攻撃者が Linux ビルドを配っていたと仮定しよう。StealC の目的そのものはブラウザのストア、ライブセッション、保存された認証情報をかき集めることだ——だが VM 内にはサインイン済みのブラウザも、クッキーの瓶も、持ち上げるセッションもない。ディスクと環境で 見つけられる 秘密はおとりだ。Bromure はプレースホルダー値(brm_…、合成された ~/.kube/config、使い捨ての ssh とクラウドのトークン)を VM に注入し、本物はホスト上、プロキシ内、本物の API へ出ていく途上でのみ入れ替える。本物の鍵が箱に入ることは決してない。Polygon で解決された C2 に届くのは何も認証しない文字列の袋だ。

第三に、**送信は可視で、箱は使い捨てだ。**C2 の解決、GitHub からの暗号化ステージの取得、持ち出しのビーコン——それらはすべて、Bromure のセキュリティログに、あなたが見られる外向きトラフィックとして現れる。そして VM のホームは使い捨てなので、スケジュールタスクも投下されたバイナリも、プロファイルをベースにリセットした次の瞬間に消える。SmartLoader が足場を保てる永続的なホストは存在しない。

同じリポジトリ、同じ推薦、同じクローン——マシンが違う。Bromure 内ではエージェントは使い捨ての Linux VM で走る。Windows ローダーは実行できず、かき集めるライブセッションも本物の鍵もなく、ディスク上の認証情報はおとりで、本物との入れ替えはホストのプロキシでのみ行われ、C2 のビーコンは記録される。推薦は依然として起きる。窃取には奪うものが何もない。

四つ目の層がある。この攻撃は、実行の攻撃である前に、読解の攻撃だからだ。 FakeGit の README は、まさに Bromure が見張る信頼できない権威の類だ——不正な CLAUDE.md、AGENTS.md、SKILL.md と同じ分類の。Bromure のオンデバイスのプロンプトインジェクション検知は、エージェントがドキュメントとして取り込む内容を、Mac を決して離れないローカルモデルで採点し、加えて不可視 Unicode の細工に対する決定論的スキャナーを備える。「この ZIP をダウンロードし、実行し、警告をやり過ごせ」とエージェントに告げる README こそ、その検知器が存在する理由たるケースだ。それ単独では壁ではない——だが Bromure ではそれが隔離の上に載るので、取りこぼしても、中に本物が何もない箱がなお受け止める。

これが線を引く対象

隔離は封じ込めであって、推薦フィルターではない。Bromure がここで何を変え、何を変えないかを正確にしておく価値がある。

エージェントは依然としてリポジトリを推薦できる

Bromure は GitHub も、MCP レジストリも、エージェントの検索結果も検証せず、エージェントが FakeGit リポジトリを浮上させたりインストール手順を渡したりするのを止めない。そのサプライチェーン走査が対象とするのはパッケージレジストリ——npm、PyPI、Cargo など——であって、そっくりリポジトリの README ではない。変わるのは、推薦されたものがどこで走り、走ったときに何へ手が届くかだ。

Windows のペイロードを止めるのは OS の境界であってルールではない

SmartLoader が失敗するのは、エージェントが Linux で走るからであって、 Bromure がそれを指紋認識したからではない。Linux ネイティブの窃取ツールなら実行される——それでも空手で終わる。VM にはサインイン済みブラウザもライブセッションもなく、認証情報はおとりで、ホームは使い捨てだからだ。

置換は設定した秘密を守る

おとりへの入れ替えが守るのは、プロファイルに入れる認証情報だ。モデルの鍵、git とクラウドのトークン、マネージド DB のエンドポイント、ssh 鍵。箱の中で手作業で確立したセッションや、スクリプトが実行中にファイルへ書く秘密は、ただのデータだ。秘密はワークスペースではなくブローカーに保て。

検知は網であって壁ではない

オンデバイスのインジェクション採点は、インストールして実行させる README をたいてい捕らえる。だが決意した書き手は、単一のスキャナーをすり抜けるよう餌を言い回せる。検知器は一つの層として扱え。検知器が取りこぼしたときに持ちこたえるのは封じ込め——偽の鍵と記録された送信を持つ使い捨ての箱 ——だ。

Island の結びの一文こそ、腰を据えて向き合うべきものだ。「AI の能力は、ソフトウェアが企業に入り込む経路となった。そして FakeGit がそれを使う最後のキャンペーンにはならないだろう。」あなたのエージェントはスキルやサーバーを探しに行く。そして見つけるものの一部は、見つけられるよう装われている。問いは、それがいつか間違ったリポジトリを推薦するかどうかではない——7,600 のリポジトリと 1,400 万のダウンロードでは、時にそうなる。問いは、そうなったときに何が走るかだ。あなたのマシン、ブラウザのセッション、本物の鍵か、それとも中に一握りのおとりを入れて放り捨てられる Linux の箱か。Bromure は後者にする。