7,6 mil repositórios falsos e 14 milhões de downloads
Cerca de 7,6 mil repositórios falsos no GitHub, 6,6 mil perfis fraudulentos e mais de 14 milhões de downloads: essa é a escala da campanha FakeGit, documentada pela Island em julho de 2026. Mais de 800 repositórios se passavam por skills de IA e servidores MCP, distribuindo o SmartLoader e o infostealer StealC.
Repositórios falsos não são novidade. A surpresa foi quem os recomendou: o Gemini e o ChatGPT sugeriram, de forma independente, o mesmo repositório malicioso walmart-mcp, entregando ao usuário as instruções de instalação do projeto do atacante.
Os atacantes não precisam mais enganar o usuário diretamente — basta enganar os assistentes em que ele confia.
Por que agentes são vulneráveis
Duas características arquiteturais viabilizam esses ataques. Primeiro, agentes processam instruções e informações externas como texto: uma instrução maliciosa escondida em um README, página ou descrição de ferramenta pode ser interpretada como algo a obedecer, e não a analisar — é a injeção indireta de prompt. Segundo, agentes podem agir sobre essas instruções.
O pesquisador Simon Willison chama a combinação de três condições de “tríade letal”: acesso a informação valiosa, exposição a conteúdo externo não confiável e capacidade de enviar dados para fora do sistema.
As oito formas de exploração
O relatório mapeia oito vetores. O AgentBaiting mira o assistente, não o usuário. O tool poisoning esconde instruções na descrição de ferramentas MCP. Alguns skills maliciosos instruem o agente a não revelar o que fez — um estudo de 2026 examinou 98.380 skills e confirmou 157 como maliciosos, com a instrução recorrente “Do Not Mention This to the User”.
No rug pull, o pacote se comporta de forma legítima por meses antes de introduzir a função maliciosa — como o postmark-mcp, que a partir da versão 1.0.16 passou a copiar e-mails enviados para um domínio do atacante, afetando potencialmente cerca de 300 organizações.
Há ainda o ClickFix (o usuário executa o malware ele mesmo, seguindo comandos disfarçados de pré-requisitos de instalação), a execução de código ao abrir um repositório não confiável (CVEs 2025-59536 e 2026-21852 no Claude Code, já corrigidos) e o caso extremo em que o agente vira o atacante: a campanha de ciberespionagem GTG-1002, na qual o Claude Code executou de 80% a 90% das operações táticas de forma autônoma.
A economia da reputação falsa
Grande parte dos ataques depende de credibilidade fabricada. Uma investigação de abril de 2026 encontrou estrelas do GitHub à venda por US$ 0,03 a US$ 0,10 cada, com cerca de seis milhões de estrelas suspeitas em 15.835 repositórios. Em outro caso, uma extensão Solidity maliciosa exibiu downloads inflados artificialmente até quase dois milhões — e um desenvolvedor perdeu cerca de US$ 500 mil.
O ponto central é duro: popularidade determina descoberta, não segurança. Revisões de código e scanners têm limites, pois a função maliciosa pode se esconder em dependências, descrições de ferramenta, atualizações posteriores ou páginas externas.
O que isso significa na prática
Para o mercado brasileiro, o alerta é direto: equipes de mídia, operações de anúncios e suporte vêm conectando agentes a DSPs, plataformas de anúncio e dados de anunciantes. Um skill de relatórios ou de criativos envenenado pode expor informações de campanha, comprometer credenciais de conta ou colocar orçamentos em risco. À medida que os agentes ganham mais autonomia, verificar o software e os sinais em que eles confiam se torna tão importante quanto proteger os sistemas que eles operam.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
