Ens hem passat vint anys ensenyant la gent a no executar l'adjunt del correu. Cursos, simulacres de phishing, cartells al costat de la màquina de cafè. I just quan començava a funcionar, l'atacant ha trobat un usuari nou que no ha fet cap d'aquells cursets, treballa a totes hores i executa el que llegeix sense arrufar les celles: el teu assistent d'IA. La campanya FakeGit, destapada aquesta setmana, va sembrar GitHub amb 7.600 repositoris falsos; només en uns 200 es comptabilitzen més de 14 milions de descàrregues de malware. I el que de debò ens sembla important no és el número: és que més de 800 d'aquests repositoris es feien passar per servidors MCP i skills d'IA, col·locats allà on els agents busquen, perquè fos la mateixa IA qui els trobés i els recomanés. Els investigadors li han posat nom: agentbaiting.
Què és FakeGit, en fred
Els números, segons la investigació d'Island (amb troballes prèvies de Straiker AI i Derp.ca) i el que han publicat BleepingComputer i Help Net Security: uns 6.600 perfils falsos de GitHub van crear prop de 7.600 repositoris que imiten projectes legítims —integracions per a Gmail, WhatsApp, Databricks, Jenkins o Docker, entre d'altres—, amb READMEs convincents i releases empaquetades com a programari real. Només en uns 200 repositoris de la campanya es van comptabilitzar més de 14 milions d'esdeveniments de descàrrega dels seus assets de release. Un esdeveniment de descàrrega no és una víctima —allà dins hi haurà bots, reintents i curiosos—, però com a embut d'entrada és una barbaritat.
La cadena tècnica és de manual modern: el README et dirigeix a un ZIP, el ZIP porta una cadena de càrrega LuaJIT amb un script Lua ofuscat, i aquest script desplega SmartLoader, un loader que es fa persistent via tasques programades i que, com a detall d'època, obté les adreces del seu C2 llegint contractes intel·ligents a Polygon. A partir d'aquí descarrega el plat principal: StealC, un infostealer que s'endú credencials, sessions actives i altre material sensible de l'equip. Trend Micro atribueix l'operació a l'actor que rastreja com a Water Kurita, continuació d'una campanya anterior que distribuïa Lumma Stealer.
Fins aquí, un esquema conegut amb bona producció. El que canvia la pel·lícula és el capítol següent.
Agentbaiting: l'enginyeria social ja no va (només) contra persones
Dels 7.600 repositoris, més de 1.400 estaven orientats a eines i fluxos d'IA, i més de 800 es feien passar per AI Skills o servidors MCP — les peces que connecten assistents com Claude o ChatGPT amb eines externes. La campanya no es va quedar a GitHub: els investigadors van trobar més de 600 fitxes en registres públics de MCP i skills (LobeHub, Glama, MCP.so, MCP Market), és a dir, als catàlegs on els agents i els seus usuaris van a buscar capacitats noves.
I funciona. Island ho va provar amb els tres grans: Claude Code, Gemini i ChatGPT van treure repositoris maliciosos de la campanya a les seves respostes sense que ningú els passés cap enllaç. En una de les proves van demanar un servidor MCP gratuït per a Walmart, i Gemini i ChatGPT van recomanar el mateix repositori maliciós com a primera opció. La frase dels investigadors ho resumeix millor que nosaltres: l'agent que fa la cerca es converteix en l'objectiu, actuant en nom de la persona per a la qual treballa.
Hi ha un detall a l'informe que ens sembla el més revelador de tots: un dels repositoris maliciosos imitava un projecte legítim amb 67.000 estrelles. La còpia en tenia 63. A un humà amb ofici aquesta diferència li grinyola en mig segon; és el senyal de confiança que fa anys que fem servir sense pensar-hi. A l'agent, a la vista de les proves, sembla pesar-li més un README ben escrit. El README és el nou correu de phishing: un text redactat per l'atacant que l'assistent es llegeix sencer, es creu, i converteix en recomanació amb la seva pròpia veu.
Per què això és un problema d'empresa i no una anècdota de developers
Pensem en quina màquina passa tot això. L'equip d'un desenvolupador —o d'un administrador de sistemes, o de qualsevol que faci servir un assistent d'IA amb accés a eines— és dels endpoints més llaminers que hi ha: credencials de repositoris, sessions obertes contra el cloud, tokens d'API, claus SSH, accés a CI/CD. StealC es dedica exactament a això: credencials i sessions actives. I el que passa quan unes credencials vàlides cauen en mans hostils no cal imaginar-ho: ho vam explicar ahir mateix amb l'esborrat del registre de la propietat de Romania, on l'atacant no va necessitar ni un exploit.
Hi ha a més un efecte d'època que convé dir en veu alta: el 2026 és l'any en què tothom està instal·lant servidors MCP i skills a velocitat de febre. Cada setmana apareix una integració nova que promet connectar el teu assistent amb el teu correu, el teu ERP o el teu WhatsApp, i la pressió per provar-la és enorme. Els atacants no han descobert cap vulnerabilitat a la IA: han descobert que el canal de distribució de capacitats d'IA encara no té els controls que el programari «normal» va trigar vint anys a guanyar-se — signatura, catàleg, revisió, reputació. La campanya, per cert, va tenir el seu pic l'abril del 2026: això no és un avís de futur, fa mesos que passa.
Què fer (i no, la resposta no és prohibir la IA)
El fàcil seria acabar amb «desconfia de la IA». No és la nostra postura: treballem amb automatització i IA cada dia, i fa dos dies escrivíem sobre com muntar projectes d'agents que sobrevisquin. La resposta no és prohibir: és tractar els servidors MCP i les skills com el que són —programari de tercers amb accés privilegiat— i aplicar-los els controls que ja sabem aplicar.
- 1.Catàleg aprovat. Ningú —ni humà ni agent— no instal·la un servidor MCP o una skill que no sigui en una llista revisada. És la mateixa disciplina del programari corporatiu de sempre, aplicada al canal nou. I la recomanació de l'assistent no compta com a revisió: verifica el publicador i el projecte real, no el README.
- 2.Estrenar en sandbox. Tota capacitat nova es prova primer en un entorn aïllat, sense credencials reals, mirant què toca i on truca. Si un «connector de Gmail» programa tasques i parla amb una blockchain, la prova ha valgut cada minut.
- 3.EDR també (sobretot) a les màquines de desenvolupament. La cadena de FakeGit deixa empremtes clàssiques: persistència per tasques programades, processos LuaJIT on no toquen, un infostealer recol·lectant. Són exactament els senyals per als quals existeix un EDR gestionat que algú miri 24/7. La màquina del desenvolupador sol ser la més potent i la menys vigilada de la casa; aquesta combinació s'ha d'invertir.
- 4.Mirar el trànsit de sortida. Un C2 que es resol consultant contractes de Polygon genera trànsit que cap lloc de treball corporatiu no hauria de generar. La visibilitat de xarxa —NetFlow, anàlisi de sortides— continua caçant el que l'endpoint no veu.
- 5.Tenir el guió del dia dolent. Si sospites que alguna cosa d'això s'ha executat: aïllar l'equip, revocar sessions i concessions OAuth, rotar credencials i secrets que hagin passat per aquella màquina. Amb un infostealer, canviar la contrasenya sense revocar les sessions és tancar la porta amb el lladre ja a dins.
A everyWAN això ho treballem des dels dos costats: la part de ciberseguretat gestionada —EDR/MDR amb vigilància 24/7, visibilitat de xarxa— i la part d'automatització amb IA, on la governança dels agents —què poden instal·lar, què poden tocar, amb quines credencials— ha de ser part del disseny, no un pedaç posterior. Si estàs posant assistents amb eines a la teva empresa i ningú no ha decidit encara qui aprova un servidor MCP, aquesta conversa va abans que la següent integració: parlem.
En curt
Durant dues dècades, la primera línia de defensa va ser ensenyar l'humà a desconfiar. FakeGit demostra que l'atacant ja està cultivant la confiança d'un segon usuari: un que llegeix ràpid, no mira les estrelles i executa amb les teves credencials. La bona notícia és que les defenses no s'han d'inventar: catàleg, sandbox, EDR, visibilitat de xarxa i un guió de resposta. La dolenta és que s'han d'aplicar a un canal —el de les capacitats d'IA— on avui gairebé ningú no les aplica. Catorze milions de descàrregues diuen que els atacants ja han fet la seva part de la feina. Falta la nostra.
Fonts (verificades): investigació d'Island sobre FakeGit i l'agentbaiting (6.600 comptes, més de 800 MCP/skills falsos, més de 600 fitxes en registres públics, proves amb Claude Code/Gemini/ChatGPT, repositori de 67.000 vs 63 estrelles, pic l'abril del 2026) — Help Net Security (21-jul-2026); 7.600 repositoris, més de 14 milions d'esdeveniments de descàrrega en uns 200 repositoris, persistència per tasques programades, C2 via contractes de Polygon, suplantació de Gmail/WhatsApp/Databricks/Jenkins/Docker i atribució de Trend Micro a Water Kurita — BleepingComputer; cadena ZIP → LuaJIT → Lua ofuscat → SmartLoader → StealC — The Hacker News.
Qui aprova el que instal·la la teva IA?
A everyWAN portem la seguretat d'empreses des del 1996: EDR/MDR gestionat amb vigilància 24/7, visibilitat de xarxa i automatització amb IA governada des del disseny. Si els teus equips ja fan servir assistents amb eines i ningú no vigila aquest canal, és el moment d'ordenar-lo.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN