Nos hemos pasado veinte años enseñando a la gente a no ejecutar el adjunto del correo. Cursos, simulacros de phishing, carteles junto a la máquina de café. Y justo cuando empezaba a funcionar, el atacante ha encontrado un usuario nuevo que no ha hecho ninguno de esos cursillos, trabaja a todas horas y ejecuta lo que lee sin levantar una ceja: tu asistente de IA. La campaña FakeGit, destapada esta semana, sembró GitHub con 7.600 repositorios falsos; solo en unos 200 de ellos se contabilizan más de 14 millones de descargas de malware. Y lo que de verdad nos parece importante no es el número: es que más de 800 de esos repositorios se hacían pasar por servidores MCP y skills de IA, colocados donde los agentes buscan, para que fuera la propia IA quien los encontrara y los recomendara. Los investigadores le han puesto nombre: agentbaiting.
Qué es FakeGit, en frío
Los números, según la investigación de Island (con hallazgos previos de Straiker AI y Derp.ca) y lo publicado por BleepingComputer y Help Net Security: unos 6.600 perfiles falsos de GitHub crearon cerca de 7.600 repositorios que imitan proyectos legítimos —integraciones para Gmail, WhatsApp, Databricks, Jenkins o Docker, entre otros—, con READMEs convincentes y releases empaquetadas como software real. Solo en unos 200 repositorios de la campaña se contabilizaron más de 14 millones de eventos de descarga de sus assets de release. Un evento de descarga no es una víctima —ahí dentro habrá bots, reintentos y curiosos—, pero como embudo de entrada es una barbaridad.
La cadena técnica es de manual moderno: el README te dirige a un ZIP, el ZIP trae una cadena de carga LuaJIT con un script Lua ofuscado, y ese script despliega SmartLoader, un loader que se hace persistente vía tareas programadas y que, como detalle de época, obtiene las direcciones de su C2 leyendo contratos inteligentes en Polygon. A partir de ahí descarga el plato principal: StealC, un infostealer que se lleva credenciales, sesiones activas y demás material sensible del equipo. Trend Micro atribuye la operación al actor que rastrea como Water Kurita, continuación de una campaña anterior que distribuía Lumma Stealer.
Hasta aquí, un esquema conocido con buena producción. Lo que cambia la película es el capítulo siguiente.
Agentbaiting: la ingeniería social ya no va (solo) contra personas
De los 7.600 repositorios, más de 1.400 estaban orientados a herramientas y flujos de IA, y más de 800 se hacían pasar por AI Skills o servidores MCP — las piezas que conectan asistentes como Claude o ChatGPT con herramientas externas. La campaña no se quedó en GitHub: los investigadores encontraron más de 600 fichas en registros públicos de MCP y skills (LobeHub, Glama, MCP.so, MCP Market), es decir, en los catálogos donde los agentes y sus usuarios van a buscar capacidades nuevas.
Y funciona. Island lo probó con los tres grandes: Claude Code, Gemini y ChatGPT sacaron repositorios maliciosos de la campaña en sus respuestas sin que nadie les pasara un enlace. En una de las pruebas pidieron un servidor MCP gratuito para Walmart, y Gemini y ChatGPT recomendaron el mismo repositorio malicioso como primera opción. La frase de los investigadores lo resume mejor que nosotros: el agente que hace la búsqueda se convierte en el objetivo, actuando en nombre de la persona para la que trabaja.
Hay un detalle en el informe que nos parece el más revelador de todos: uno de los repositorios maliciosos imitaba un proyecto legítimo con 67.000 estrellas. La copia tenía 63. A un humano con oficio esa diferencia le chirría en medio segundo; es la señal de confianza que llevamos años usando sin pensarlo. Al agente, a la vista de las pruebas, parece pesarle más un README bien escrito. El README es el nuevo correo de phishing: un texto redactado por el atacante que el asistente se lee entero, se cree, y convierte en recomendación con su propia voz.
Por qué esto es un problema de empresa y no una anécdota de developers
Pensemos en qué máquina ocurre todo esto. El equipo de un desarrollador —o de un administrador de sistemas, o de cualquiera que use un asistente de IA con acceso a herramientas— es de los endpoints más golosos que hay: credenciales de repositorios, sesiones abiertas contra el cloud, tokens de API, llaves SSH, acceso a CI/CD. StealC se dedica exactamente a eso: credenciales y sesiones activas. Y lo que pasa cuando unas credenciales válidas caen en manos hostiles no hace falta imaginarlo: lo contamos ayer mismo con el borrado del registro de la propiedad de Rumanía, donde el atacante no necesitó ni un exploit.
Hay además un efecto de época que conviene decir en voz alta: 2026 es el año en que todo el mundo está instalando servidores MCP y skills a velocidad de fiebre. Cada semana aparece una integración nueva que promete conectar tu asistente con tu correo, tu ERP o tu WhatsApp, y la presión por probarla es enorme. Los atacantes no han descubierto una vulnerabilidad en la IA: han descubierto que el canal de distribución de capacidades de IA todavía no tiene los controles que el software «normal» tardó veinte años en ganarse — firma, catálogo, revisión, reputación. La campaña, por cierto, tuvo su pico en abril de 2026: esto no es un aviso de futuro, lleva meses pasando.
Qué hacer (y no, la respuesta no es prohibir la IA)
Lo fácil sería terminar con «desconfía de la IA». No es nuestra postura: trabajamos con automatización e IA a diario, y hace dos días escribíamos sobre cómo montar proyectos de agentes que sobrevivan. La respuesta no es prohibir: es tratar los servidores MCP y las skills como lo que son —software de terceros con acceso privilegiado— y aplicarles los controles que ya sabemos aplicar.
- 1.Catálogo aprobado. Nadie —ni humano ni agente— instala un servidor MCP o una skill que no esté en una lista revisada. Es la misma disciplina del software corporativo de siempre, aplicada al canal nuevo. Y la recomendación del asistente no cuenta como revisión: verifica el publicador y el proyecto real, no el README.
- 2.Estrenar en sandbox. Toda capacidad nueva se prueba primero en un entorno aislado, sin credenciales reales, mirando qué toca y a dónde llama. Si un «conector de Gmail» programa tareas y habla con una blockchain, la prueba ha valido cada minuto.
- 3.EDR también (sobre todo) en las máquinas de desarrollo. La cadena de FakeGit deja huellas clásicas: persistencia por tareas programadas, procesos LuaJIT donde no tocan, un infostealer recolectando. Son exactamente las señales para las que existe un EDR gestionado que alguien mire 24/7. La máquina del desarrollador suele ser la más potente y la menos vigilada de la casa; esa combinación hay que invertirla.
- 4.Mirar el tráfico de salida. Un C2 que se resuelve consultando contratos de Polygon genera tráfico que ningún puesto de trabajo corporativo debería generar. La visibilidad de red —NetFlow, análisis de salidas— sigue cazando lo que el endpoint no ve.
- 5.Tener el guion del día malo. Si sospechas que algo de esto se ha ejecutado: aislar el equipo, revocar sesiones y concesiones OAuth, rotar credenciales y secretos que hayan pasado por esa máquina. Con un infostealer, cambiar la contraseña sin revocar las sesiones es cerrar la puerta con el ladrón ya dentro.
En everyWAN esto lo trabajamos desde los dos lados: la parte de ciberseguridad gestionada —EDR/MDR con vigilancia 24/7, visibilidad de red— y la parte de automatización con IA, donde la gobernanza de los agentes —qué pueden instalar, qué pueden tocar, con qué credenciales— tiene que ser parte del diseño, no un parche posterior. Si estás metiendo asistentes con herramientas en tu empresa y nadie ha decidido todavía quién aprueba un servidor MCP, esa conversación va antes que la siguiente integración: hablamos.
En corto
Durante dos décadas, la primera línea de defensa fue enseñar al humano a desconfiar. FakeGit demuestra que el atacante ya está cultivando la confianza de un segundo usuario: uno que lee rápido, no mira las estrellas y ejecuta con tus credenciales. La buena noticia es que las defensas no hay que inventarlas: catálogo, sandbox, EDR, visibilidad de red y un guion de respuesta. La mala es que hay que aplicárselas a un canal —el de las capacidades de IA— donde hoy casi nadie las aplica. Catorce millones de descargas dicen que los atacantes ya han hecho su parte del trabajo. Falta la nuestra.
Fuentes (verificadas): investigación de Island sobre FakeGit y el agentbaiting (6.600 cuentas, más de 800 MCP/skills falsos, más de 600 fichas en registros públicos, pruebas con Claude Code/Gemini/ChatGPT, repositorio de 67.000 vs 63 estrellas, pico en abril de 2026) — Help Net Security (21-jul-2026); 7.600 repositorios, más de 14 millones de eventos de descarga en unos 200 repositorios, persistencia por tareas programadas, C2 vía contratos de Polygon, suplantación de Gmail/WhatsApp/Databricks/Jenkins/Docker y atribución de Trend Micro a Water Kurita — BleepingComputer; cadena ZIP → LuaJIT → Lua ofuscado → SmartLoader → StealC — The Hacker News.
¿Quién aprueba lo que instala tu IA?
En everyWAN llevamos la seguridad de empresas desde 1996: EDR/MDR gestionado con vigilancia 24/7, visibilidad de red y automatización con IA gobernada desde el diseño. Si tus equipos ya usan asistentes con herramientas y nadie vigila ese canal, es el momento de ordenarlo.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN