FakeGit : 7 600 faux dépôts GitHub piègent développeurs et agents IA

Quand les dépôts open source deviennent des pièges pour développeurs et machines

La campagne FakeGit, révélée par The Hacker News et Help Net Security dans la semaine du 21 juillet 2026, représente une évolution significative dans l'écosystème des attaques de supply chain ciblant les développeurs. Contrairement aux campagnes classiques de typosquatting — packages npm, PyPI ou RubyGems imitant des bibliothèques légitimes — FakeGit exploite une surface d'attaque plus récente et plus difficile à surveiller : les dépôts GitHub se présentant comme des extensions, Skills ou serveurs MCP pour les assistants IA de nouvelle génération.

L'ampleur de l'opération est remarquable. Les chercheurs ont identifié 7 600 dépôts malveillants créés sous environ 6 600 profils GitHub distincts. Parmi ces dépôts, 800 se présentaient spécifiquement comme des Skills ou serveurs MCP pour des usages individuels et d'entreprise, allant des intégrations Gmail et WhatsApp à des connecteurs pour Databricks, Jenkins et Docker. Les 6 800 restants imitaient des bibliothèques générales, des outils de développement, des scanners de sécurité et des utilitaires DevOps populaires. Au total, les Release Assets associés à environ 200 de ces dépôts ont enregistré plus de 14 millions de téléchargements cumulés, selon Rescana qui a coordonné la divulgation avec GitHub.

La sophistication de la mise en scène est soigneusement travaillée. Chaque dépôt malveillant présente un README détaillé en plusieurs langues, des exemples d'utilisation, des captures d'écran, parfois même de faux historiques de commits simulant une activité régulière de maintenance. Les profils créateurs affichent des biographies professionnelles crédibles, des photos de profil générées par IA et des contributions factices à d'autres projets pour renforcer leur légitimité apparente. Des étoiles et forks artificiels — obtenus via des réseaux de comptes coordonnés — complètent l'illusion de popularité. Cette technique de crédibilisation artificielle des profils GitHub est de plus en plus documentée dans les campagnes de supply chain sophistiquées visant l'écosystème développeur.

La chaîne d'infection se déroule en plusieurs étapes une fois qu'une victime télécharge l'archive ZIP proposée par le dépôt malveillant. L'archive contient un chargeur basé sur LuaJIT qui exécute un script Lua fortement obfusqué. Ce script installe SmartLoader, un malware loader modulaire capable de télécharger des charges utiles additionnelles de manière discrète, en fragmentant les téléchargements pour éviter les signatures de détection réseau. SmartLoader déploie ensuite StealC, un infostealer particulièrement redoutable parce qu'il ne se contente pas de capturer des mots de passe : il vole les sessions de navigation actives, les tokens OAuth, les clés API, les credentials cloud stockés localement et les portefeuilles de cryptomonnaies. Comme le soulignent les chercheurs dans leur analyse, StealC prend les sessions vivantes, pas uniquement les mots de passe, ce qui rend insuffisant le simple reset des mots de passe — la révocation complète des tokens et sessions est impérative.

L'aspect le plus novateur de FakeGit est cependant la technique baptisée AgentBaiting. Les attaquants ont exploité le fait que de plus en plus d'utilisateurs délèguent à des agents IA — Claude Code, ChatGPT avec navigation web, Gemini — la recherche d'outils, de libraries ou de serveurs MCP pour étendre leurs capacités. Ces agents parcourent GitHub, évaluent les dépôts sur des critères comme le nombre d'étoiles, la récence des commits, la qualité de la documentation et les mentions dans d'autres projets — des critères que les attaquants ont soigneusement manipulés. Résultat : plusieurs agents IA ont autonomement recommandé des dépôts FakeGit à leurs utilisateurs, agissant involontairement comme vecteur de distribution du malware sans aucune intervention humaine dans la chaîne d'infection.

Help Net Security rapporte que dans des cas documentés, des agents IA chargés de trouver un serveur MCP pour intégrer Jenkins dans un workflow ont retourné un lien vers un dépôt FakeGit parmi leurs premières recommandations. L'utilisateur, faisant confiance à son assistant IA, a téléchargé et installé le package sans méfiance supplémentaire. Ce scénario illustre un problème structurel émergent : les agents IA héritent des biais de confiance de leurs utilisateurs envers les sources qu'ils consultent, sans disposer des mécanismes d'analyse comportementale qui permettraient de détecter les indicateurs de compromission dans un binaire ou un script obfusqué.

GitHub a été notifié par les chercheurs et a entrepris de retirer les dépôts malveillants identifiés. Selon Rescana, la vague initiale de suppressions a débuté le 21 juillet, mais de nouveaux dépôts continuaient d'être créés en remplacement des supprimés, une tactique dite fast-flux appliquée à GitHub. La plateforme a indiqué renforcer sa détection automatique des patterns de création massive de comptes et de dépôts présentant des caractéristiques similaires. Parallèlement, les fournisseurs d'antivirus et d'EDR ont publié des signatures pour SmartLoader et StealC dans leurs mises à jour de définitions.

Sur le plan de la traçabilité financière, les chercheurs de Rescana ont mené une analyse des paiements en cryptomonnaie associés à l'infrastructure de FakeGit et identifié des connexions avec plusieurs opérateurs de ransomware connus. Les données volées par StealC alimentent vraisemblablement des opérations de fraude et de double extorsion plus larges. La campagne est en cours d'investigation par plusieurs agences de cybersécurité nationales en Europe et en Amérique du Nord, dont le CERT-FR qui a émis une alerte le 22 juillet 2026.

FakeGit révèle la surface d'attaque invisible de l'écosystème des agents IA

FakeGit est symptomatique d'une évolution profonde du paysage des menaces que les équipes de sécurité peinent encore à intégrer dans leurs modèles de risque. La prolifération des agents IA dans les workflows de développement crée une nouvelle couche d'exposition qui n'existait pas il y a deux ans. Jusqu'ici, un développeur qui cherchait un outil sur GitHub appliquait en théorie un certain niveau de discernement : vérification du profil de l'auteur, lecture des issues ouvertes, consultation des métriques de popularité réelles. Un agent IA, lui, applique des heuristiques de confiance plus mécaniques et potentiellement plus manipulables à grande échelle, car son processus de sélection repose sur des signaux quantitatifs facilement falsifiables par un adversaire motivé.

La technique AgentBaiting ouvre un vecteur d'attaque structurellement nouveau qui va bien au-delà de GitHub. Tout système où un agent IA est amené à recommander des ressources externes — extensions VS Code, plugins Figma, packages npm, images Docker Hub, templates Terraform — peut potentiellement être ciblé par des campagnes similaires. Les attaquants n'ont plus besoin de compromettre les canaux de distribution officiels comme dans les attaques de supply chain classiques ; il leur suffit de créer des leurres suffisamment crédibles pour que les heuristiques de sélection des agents IA les favorisent. C'est une forme d'adversarial attack appliquée non pas au modèle lui-même, mais à son processus de recommandation.

Pour les organisations qui utilisent des agents IA dans leurs workflows de développement, FakeGit impose une révision des politiques de gouvernance des outils installés. Les agents IA ne devraient pas avoir la capacité d'installer directement des packages ou des outils sans une étape de validation humaine (human-in-the-loop) pour tout ce qui touche à l'exécution de code. Les politiques de allowlisting des dépôts GitHub approuvés, déjà pratiquées dans les environnements les plus sécurisés, doivent être étendues aux agents IA intégrés aux pipelines CI/CD et aux postes de développement. La suppression proactive des packages suspects doit s'accompagner d'une révocation systématique de tous les tokens et sessions actifs sur les machines potentiellement exposées, SmartLoader pouvant avoir opéré en arrière-plan longtemps avant la détection.

Enfin, FakeGit met en lumière la responsabilité des plateformes d'hébergement de code dans la sécurité de l'écosystème IA. GitHub, en tant qu'infrastructure de distribution involontaire de ce malware, doit investir dans des mécanismes de détection proactive des campagnes de création massive de profils et de dépôts factices. Des solutions basées sur l'analyse comportementale des patterns de contribution, la vérification d'identité renforcée des auteurs de packages populaires et la notation de risque dynamique des dépôts sont en cours de développement. En attendant leur déploiement complet, la vigilance humaine et les politiques organisationnelles strictes restent la première ligne de défense contre ce type de campagne.

Ce qu'il faut retenir

• Révoquer immédiatement toute session active, token OAuth, clé API et credential cloud sur les postes ayant pu télécharger un package GitHub non vérifié ces dernières semaines — StealC vole les sessions actives, le reset de mot de passe seul est insuffisant.
• Auditer les recommandations de vos agents IA : si Claude Code, ChatGPT ou Gemini ont installé ou suggéré un dépôt GitHub récent, vérifier son authenticité avant toute exécution.
• Mettre en place une politique de allowlisting pour les outils installés par les agents IA dans vos environnements de développement, avec validation humaine obligatoire pour tout nouveau dépôt ou package tiers.