Вчера выложил методичку по skills. Сегодня к ней нужна одна поправка: искать skill через ассистента тоже риск.
20 июля Island опубликовали разбор кампании FakeGit. Исследователи насчитали около 7600 вредоносных репозиториев на GitHub. Больше 800 маскировались под AI Skills и MCP servers. В публичных каталогах нашли свыше 600 таких размещений.
И кстати говоря, я могу согласиться с их разбором, полтора месяца назад я сам проводил исследование качества Open Source скиллов и MCP серверов, правда мой фокус был не на вредоносных историях, а на том сколько реально полезных инструментов.
Ключевой вопрос для меня звучал так, а сколько реально проверенных рабочих скиллов создало сообщество и какие лучшие практики я могу взять себе?
Но вернемся к разбору. Самое неприятное не в каталогах.
Ассистенту не нужно присылать ссылку. Его просили подобрать подходящий инструмент, он сам находил вредоносный репозиторий, читал README и пересказывал инструкцию установки. В отчёте это сказано без обиняков: "all surfaced malicious campaign repositories without ever being shown a link".
Поведение моделей различалось. Claude Code в одном тесте рекомендовал нормальный репозиторий, но вредоносный держал как альтернативу и повторил инструкцию из его README. В других прогонах он разглядел подозрительное содержимое и отказался. Gemini выдал вредоносный MCP-сервер первой рекомендацией. ChatGPT назвал такой репозиторий лучшим местом для старта.
"Ассистент нашёл" и "ассистент проверил" - разные события.
В кампании 62% приманок изображали корпоративные или внутренние инструменты: коннекторы к почте, данным, CI, облаку. Там, где человек особенно рад увидеть готовое решение.
Что посмотреть до установки:
1. Нормальный skill или MCP server показывает исходники и манифест. Архив с программой внутри вместо кода - стоп.
2. README просит скачать и запустить .exe, .cmd, .bat или другой исполняемый файл. В разобранном Island архиве лежали launcher, переименованный runtime и замаскированная полезная нагрузка.
3. Посмотрите на автора. В кампании встречались аккаунты, которые отличались от настоящих одним символом и копировали профиль.
4. У зрелых маркетплейсов иногда есть security-проверки. Ищите дату скана, версию пакета и ссылку на отчёт. Нет этих трёх вещей, считайте каталог витриной, а не проверкой
Каталог тоже не гарантия. Island нашла более 600 таких листингов в LobeHub, Glama, MCP.so и MCP Market. Исследователи не установили, каждую запись добавили вручную или каталог проиндексировал её сам. Для пользователя разницы мало: листинг придаёт опасному репозиторию вид легитимного.
Практичное правило для команды: агент может искать новый инструмент, но ставить его можно только из вашего проверенного списка или в изолированной среде без сессий браузера, токенов, SSH-ключей и продовых данных.
Это исследование вендора корпоративного браузера, а не независимый аудит. Числа и IOC они опубликовали, но не стоит выдавать его за окончательный список всей кампании. Из своего опыта я бы сказал что исследование похоже на правду.
Для рабочего правила этого хватает: рекомендация агента не заменяет проверку поставщика и содержимого пакета.
Источник: https://www.island.io/blog/agentbaiting-how-800-fake-ai-skills-and-mcp-servers-delivered-malware
20 июля Island опубликовали разбор кампании FakeGit. Исследователи насчитали около 7600 вредоносных репозиториев на GitHub. Больше 800 маскировались под AI Skills и MCP servers. В публичных каталогах нашли свыше 600 таких размещений.
И кстати говоря, я могу согласиться с их разбором, полтора месяца назад я сам проводил исследование качества Open Source скиллов и MCP серверов, правда мой фокус был не на вредоносных историях, а на том сколько реально полезных инструментов.
Ключевой вопрос для меня звучал так, а сколько реально проверенных рабочих скиллов создало сообщество и какие лучшие практики я могу взять себе?
Но вернемся к разбору. Самое неприятное не в каталогах.
Ассистенту не нужно присылать ссылку. Его просили подобрать подходящий инструмент, он сам находил вредоносный репозиторий, читал README и пересказывал инструкцию установки. В отчёте это сказано без обиняков: "all surfaced malicious campaign repositories without ever being shown a link".
Поведение моделей различалось. Claude Code в одном тесте рекомендовал нормальный репозиторий, но вредоносный держал как альтернативу и повторил инструкцию из его README. В других прогонах он разглядел подозрительное содержимое и отказался. Gemini выдал вредоносный MCP-сервер первой рекомендацией. ChatGPT назвал такой репозиторий лучшим местом для старта.
"Ассистент нашёл" и "ассистент проверил" - разные события.
В кампании 62% приманок изображали корпоративные или внутренние инструменты: коннекторы к почте, данным, CI, облаку. Там, где человек особенно рад увидеть готовое решение.
Что посмотреть до установки:
1. Нормальный skill или MCP server показывает исходники и манифест. Архив с программой внутри вместо кода - стоп.
2. README просит скачать и запустить .exe, .cmd, .bat или другой исполняемый файл. В разобранном Island архиве лежали launcher, переименованный runtime и замаскированная полезная нагрузка.
3. Посмотрите на автора. В кампании встречались аккаунты, которые отличались от настоящих одним символом и копировали профиль.
4. У зрелых маркетплейсов иногда есть security-проверки. Ищите дату скана, версию пакета и ссылку на отчёт. Нет этих трёх вещей, считайте каталог витриной, а не проверкой
Каталог тоже не гарантия. Island нашла более 600 таких листингов в LobeHub, Glama, MCP.so и MCP Market. Исследователи не установили, каждую запись добавили вручную или каталог проиндексировал её сам. Для пользователя разницы мало: листинг придаёт опасному репозиторию вид легитимного.
Практичное правило для команды: агент может искать новый инструмент, но ставить его можно только из вашего проверенного списка или в изолированной среде без сессий браузера, токенов, SSH-ключей и продовых данных.
Это исследование вендора корпоративного браузера, а не независимый аудит. Числа и IOC они опубликовали, но не стоит выдавать его за окончательный список всей кампании. Из своего опыта я бы сказал что исследование похоже на правду.
Для рабочего правила этого хватает: рекомендация агента не заменяет проверку поставщика и содержимого пакета.
Источник: https://www.island.io/blog/agentbaiting-how-800-fake-ai-skills-and-mcp-servers-delivered-malware