GitHubの偽AIスキル・MCPサーバー800件超 FakeGitと社内の入手ルール

セキュリティ会社のIslandは2026年7月20日、GitHubに作られた偽のリポジトリ(ソフトの置き場)の大規模な活動「FakeGit」を報告しました。約7,600件のうち800件超が、AIのスキルやMCPサーバーを装っています。AIのアシスタントが偽物を見つけて、導入手順をそのまま案内してしまう例も示されました。この記事は、原文の数字と試験の結果を確かめたうえで、社員がGitHubからAIの道具を入れるときの社内の決まりを整理します。

AIのモデルや製品の紹介はしません。試験に出てくるAIの名前は、原文の事実として挙げるだけです。

FakeGitとは何か、何件あったのか

スキルは、AIのアシスタントに特定の作業を覚えさせる部品です。MCPサーバーは、AIがメールやデータベースなどの外部の道具につながるための窓口です。どちらも、GitHubなどから探して入れる人が増えています。

Islandの原文にある数字は次のとおりです。

1,400万超は、ダウンロードの回数です。感染した端末の数ではありません。原文は、ZIPをリポジトリの中に直接置いたものが数千件あり、その分のダウンロードは公開されず数えていない、とも書いています。日本での被害は、原文に記載がありません。

手口は「本物らしさ」を重ねる

Islandによると、FakeGitは、本物のプロジェクトを写したり作り話のプロジェクトを作ったりして、似せた開発者のプロフィールの下に置き、READMEでマルウェアの実行をふつうの導入手順に見せます。

• 写した例: 6万7,000超のスター(お気に入りの数)がある本物のコレクションと同じ名前・位置づけのリポジトリが作られ、63のスターと18のフォークを集めていました。READMEは、確認済みのSmartLoaderのZIPを、そのプロジェクトの配布物として案内していました。
• プロフィールの例: 実在する開発者のユーザー名と1文字だけ違うアカウントが、本物のプロフィールをほぼそのまま写し、MCPサーバーを装うリポジトリを公開していました。
• READMEの例: 「Databricks用のツール263個」をうたうMCPサーバーのREADMEが、ZIPをダウンロードし、展開し、実行する手順を示していました。

ZIPの中身と、盗まれるもの

Islandが調べたWindows向けのZIPには、MCPサーバーの設定もインストーラーもなく、3つのファイルだけが入っていました。起動用の小さなスクリプト、名前を変えた実行用のプログラム、テキストファイルに見せかけた難読化済みのプログラムです。ファイル名は変わっても、この構造は共通していた、と原文は書いています。

感染すると、まずSmartLoaderが常駐の仕組みを作り、続けてStealC(情報を盗むマルウェア)を入れます。原文によると、StealCは次を狙います。

• ブラウザのパスワード、Cookie、使用中のセッション、ブラウザ拡張機能のデータ
• メールとリモート接続の認証情報
• 画面のスクリーンショット、端末の情報

Islandは、偽物の62%が企業や開発者の社内向けを装い、3分の1が業務のデータ、4分の1がソースコード、約6分の1が認証情報や秘密情報に関わる名目だったと書いています。名目どおりの権限は要らず、ZIPを実行した時点で端末が侵害されるためです。

AgentBaiting:AIが偽物を勧めた試験

Islandは、AIのアシスタントが自分で偽リポジトリを見つけ、攻撃者のREADMEを正当な説明として扱い、導入手順を利用者に渡す手口を「AgentBaiting」と呼んでいます。

原文の試験の結果は次のとおりです。試験の回数や条件の詳細は、原文には書かれていません。

原文は、結果にばらつきがあること自体が要点で、この規模では「たまの見落とし」でもマルウェアの実行につながる、と述べています。なお、Islandは企業向けのブラウザを売る会社で、この試験は同社の調査です。第三者による再現は、この記事の時点で確かめていません。

10月の続報について

10月にも別のセキュリティ企業がFakeGitの続報を出したと編集部は把握していますが、本文を確認できていません。そのため、10月の数字は書きません。ここまでの数字は、すべて2026年7月20日のIslandの報告に基づきます。

影響する会社・しない会社

• 影響する: 開発者がGitHubからMCPサーバー・スキル・プラグインを探して入れている会社。
• 影響する: 開発者でない社員が、AIのアシスタントに「無料の〇〇のMCPサーバーを探して」と頼み、出てきた手順で入れている会社。AIの案内を確認せずに実行できる状態です。
• 影響する: 社員がWindowsの業務端末のブラウザに、パスワードや業務サービスのログイン状態を残している会社。StealCが狙うものです。
• 影響しにくい: AIの道具の導入を情シスが審査し、社員が自分で入れられない会社。ただし、審査の中でZIPを試す担当者の端末は、同じ危険にさらされます。
• 影響しにくい: AIのアシスタントを、外部の道具につなげずに使っている会社。

編集部の整理です。原文は、日本の会社への影響を書いていません。

社内の決まりの作り方(編集部の整理)

Islandの勧める対策を軸に、社内の決まりの形にします。AIの道具の導入そのものの確認は、Googleの「Geminiエージェント」を会社で入れる前に確かめる5つのことやClaude Cowork、Pro・Maxはクラウド実行に一本化 情シスの確認点に書いたので、ここでは繰り返しません。

1. 入れてよい入手元を決める

Islandは「確認済みのスキル、MCPサーバー、エージェントのプラグインの一覧を作る」ことを勧めています。偽物は誰でも探せる状態に頼っているので、一覧を作れば、人もAIも偽物に出会いにくくなる、という説明です。

• 一覧に載っている入手元(開発元の公式のリポジトリ、公式のレジストリ)だけを許可する。
• 公開のレジストリの掲載は、安全の目印にしない。Islandは、掲載は正当性の信号にならないと書いています。
• 一覧にないものは、申請して情シスが確かめるまで入れない。
• 作った人の確認は、プロジェクトだけでなく公開元でする。原文では、1文字違いのユーザー名や写したプロフィール、控えめなスターの数が使われていました。

2. 入れる前に、誰がどこで確かめるか

Islandは「新しい道具は、まず隔離した環境で試す。ブラウザのセッション、クラウドの認証情報、SSH鍵、本番のデータを置かない」ことを勧めています。

• 確認する担当を決める(情シス、または開発のリーダー)。申請した本人だけで確認を終えない。
• 試す環境は、業務のログイン状態がない専用の端末か仮想環境にする。
• 入れたものは、入手元・版・コミット・パッケージのハッシュ付きで台帳に残す。新しい偽リポジトリが見つかったとき、自社と照合できます。

3. ZIPをダウンロードして実行しない

原文は、本物のMCPサーバーやスキルはマニフェストの付いたソースコードで、起動用のスクリプトと名前を変えた実行用のプログラムが入ったWindowsのZIPではない、と述べています。そして、ダウンロードした実行ファイルで入れるものは「見た時点で断る」ことを勧めています。

• 社内の決まりに、「GitHubのリリースやREADMEが示すZIP・exeを実行しない」と書く。
• 警告が出て「実行」を選ぶ手順が書いてあるものは、そこで止める。
• AIのアシスタントが示した手順も同じ扱いにする。

4. AIが動かす経路も見る

原文は、ダウンロード、git clone、シェルのコマンドが、AIが作業の途中で出す場合もあるので、AIが始めた取得や、スキルのフォルダ・MCPの設定の変更も、ブラウザのダウンロードと同じ目で見るよう勧めています。実現する手段(ログ、端末の管理製品)は、各社の環境に合わせて検討してください。権限の渡し方は「APIキーは.envに」はもう危ない AIエージェントに渡す権限の決め方も参考になります。

感染が疑われたときにやること

Islandは、SmartLoaderの実行が疑われる場合に、次のことを勧めています。

If SmartLoader execution is suspected, isolate the endpoint and revoke active browser sessions, OAuth grants, API tokens, and cloud and developer credentials. StealC takes live sessions, not just passwords, so resetting passwords alone is not enough.

訳すと、端末を隔離し、使用中のブラウザのセッション、OAuthの許可、APIトークン、クラウドと開発の認証情報を取り消す、ということです。StealCは使用中のセッションを盗むので、パスワードのリセットだけでは足りません。

公的な資料には、次の記載があります。

• IPAの「インターネットサービスへの不正ログインによる被害が増加中」は、マルウェアに感染するとパソコンやスマートフォンに登録された情報を盗まれる、と説明しています。被害にあったときは、ログインできるならパスワードを変更し、登録情報に自分のものではないメールアドレスや電話番号があれば削除し、多要素認証を設定するよう案内しています。同じパスワードを他のサービスでも使っていたら、そちらも変更します。
• JPCERT/CCの注意喚起(JPCERT-AT-2026-0030)は、別の攻撃についての資料ですが、APIトークンの対策として、漏えいが疑われるトークンを速やかに無効化できるようにしておくことを挙げています。

どちらも、インフォスティーラーだけを扱う資料ではありません。次の手順は、これらとIslandの勧めをもとにした編集部の整理です。

情シスが今日やること

1. 社員が、GitHubからAIのスキル・MCPサーバー・プラグインを入れていないかを聞き取る。使っているものを、入手元と版つきで一覧にします。
2. 入れてよい入手元の一覧を作る。開発元の公式のリポジトリと公式のレジストリだけから始め、一覧にないものは申請制にします。
3. 「GitHubのZIP・exeを実行しない」を社内の決まりに書き、AIのアシスタントが勧めた手順にも当てはまると明記する。
4. 試すための隔離した環境と、確かめる担当者を決める。
5. 感染が疑われたときの手順(隔離、パスワードとセッションとトークンの取り消し、連絡先)を、1枚にして配る。

2026年10月9日時点の内容です。偽リポジトリの一覧とZIPのハッシュは、Islandが公開している資料に載っています。