FakeGit : 14 millions de téléchargements. La chaîne d’approvisionnement des agents IA répète l’histoire de npm.

Le chiffre principal indiqué est de 800 compétences en IA fictives. C’est un chiffre incorrect. Le chiffre réel est…7 600 répositories GitHub malveillants, plus que14 millions de téléchargements mesurésSur environ 200 réserves de campagnes, et un mécanisme entier de découverte des capacités d’IA qui ne dispose d’aucun système de sécurité.

Le rapport d’Islande de juillet 2026 décrivait la campagne FakeGit – environ6 600 profils de développeurs créés800+ serveurs prétendant être des services de compétences en IA ou des serveurs du protocole de contexte des modèles (MCP), et plus…600 annonces dans les registres publics, notamment sur LobeHub, Glama, MCP.so et MCP Market.La chaîne de malwares est SmartLoader, suivie par StealC, un programme qui vole des informations : sessions de navigateur, identifiants et tokens.

Mais le contenu malveillant n’est pas la question principale. La vraie question est le modèle de confiance qui lui a permis d’entrer.

Décomposition

FakeGit fonctionnait en trois couches. Comprendre cette structure explique pourquoi il ne s’agit pas simplement d’une autre campagne de phishing.

Étape 1 – Fabrication de l’identité.La campagne a créé des profils GitHub similaires. Un compte, Naveenkm007, diffère d’un seul caractère du développeur officiel Naveenkm07, ce qui reflète la disposition du profil original avant la publication d’un serveur MCP malveillant. Il s’agit donc de pratiques de typosquatting utilisées pour manipuler l’identité d’un développeur, et non seulement les noms de paquets.

Étape 2 – Clonage du répertoire.Les projets réels ont été copiés et modifiés. Mann1988/awesome-claude-skills a reproduit le repository ComposioHQ/awesome-claude-skills, très utilisé – ce dernier comptait 67 000 étoiles et 7 600 forks. Ensuite, il a ajouté un badge “Télécharger” qui indiquait un fichier ZIP contenant le code source. Le clone lui-même ne comptait que 63 étoiles et 18 forks. Mais une vérification visuelle rapide semble plausible.

Étape 3 – AgentBaiting.C’est le nouveau mécanisme. Les chercheurs de l’île ont demandé à Claude Code, Gemini et ChatGPT de trouver des serveurs MCP et des compétences pour les tâches quotidiennes – « Donnez-moi un serveur MCP gratuit sur Walmart », « Trouvez une compétence de prompt cinématographique gratuite avec Claude ». Tous trois ont découvert indépendamment des répertoires malveillants, ont traité les descriptions détaillées écrites par les attaquants comme des documents légaux, et ont transmis aux utilisateurs les instructions d’installation. Aucun lien de phishing n’a été nécessaire. L’agent a effectué le travail des attaquants.

L’écosystème qui exploite cela

FakeGit n’a pas créé ses “pièges” en l’absence de toute demande existante. Il a simplement capturé une demande qui était déjà en train de se développer.

L’écosystème des compétences liées aux agents IA s’est développé de…5 700 compétences sur ClawHub en février 2026, pour dépasser les 44 000 d’ici avril.. Les téléchargements du MCP SDK ont dépassé 97 millions par mois.Cela concerne également Python et TypeScript. Plus de 10 000 serveurs MCP publics actifs sont en circulation. OpenClaw – le framework au cœur de l’écosystème des compétences – a réussi à dépasser la comptation de stars de React sur GitHub en une décennie en moins de cinq mois : 346 000 stars et 500 000 instances en fonctionnement.

Mais la gestion de la sécurité était absente.Le obstacle pour publier une compétence sur ClawHub est le fichier SKILL.md et un compte GitHub qui date d’une semaine.Aucune signature de code. Aucune revue de sécurité. Aucun environnement de test par défaut.

L’audit effectué par Snyk en février 2026 sur 3,984 compétences a révélé que 13,4 % – soit 534 compétences – présentaient au moins un problème de sécurité de niveau critique, y compris la distribution de logiciels malveillants et l’injection de données. Si l’on considère tous les niveaux de gravité, 36,82 % du écosystème présentait des défauts de sécurité.L’audit effectué par Koi Security a révélé 341 compétences malveillantes sur 2 857 compétences analysées via ClawHub.Environ 12 % de l’échantillon était composé de logiciels malveillants.

Une expérience en conditions aériennes en juin 2026 a montré à quel point les compétences peuvent contourner facilement les contrôles existants.Une compétence de test appelée “brand-landingpage” a réussi à passer les tests effectués par Cisco, Nvidia et skills.sh. De plus, elle a atteint plus de 26 000 utilisateurs grâce à une publicité sur Instagram.L’instruction malveillante de cette compétence se trouvait derrière un URL externe qui pouvait changer après l’approbation, et non au sein du paquet soumis. La vérification à un moment donné – c’est la défense actuelle – est structurellement insuffisante.

62 % des faux outils IA FakeGit imitaient des outils réels utilisés par les entreprises : Databricks, Jenkins, Docker, Gmail. Ils imitaient exactement les processus de travail que les équipes utilisent quotidiennement. C’est cette familiarité qui rendait les fichiers ZIP malveillants crédibles.

Le motif structurel : répétition de npm

Ce n’est pas une catégorie d’attaque nouvelle. C’est un ancien modèle de chaîne d’approvisionnement appliqué à une nouvelle couche de confiance.

Entre 2015 et 2020, npm et PyPI – les gestionnaires de paquets qui ont permis la mise en place du logiciel moderne – ont connu le même parcours : croissance exponentielle, vérifications quasi nulles, campagnes de plagiat, mainteneurs malveillants, ainsi que des scripts d’installation utilisés comme vecteurs d’attaques. Ensuite, la sécurité a progressé grâce à la vérification de l’origine des logiciels, aux scanners automatisés et au concept de “liste des composants du logiciel”.

Les compétences des agents se trouvent au même point de convergence. Les parallèles sont directes.

Les attaques écologiques liées aux paquets d’il y a une décennie sont aujourd’hui des attaques basées sur les compétences des agents : typosquatting (profil similaires et noms de répertoires), projets légitimes clonés, instructions de configuration post-installation qui déclenchent l’exécution du payload, ainsi que des registres publics contenant du contenu non vérifié. Mais les compétences des agents sont structuralement plus dangereuses dans une dimension : elles héritent de toutes les permissions de l’agent IA qu’elles étendent – accès au shell, lecture/écriture du système de fichiers, variables d’environnement, tokens OAuth – et non le cadre de confinement typique d’un paquet npm.

Et la surface d’attaque ne possède aucun équivalent de l’époque des gestionnaires de paquets : injection de commandes. Les instructions en langage naturel peuvent intégrer des comportements malveillants dans du texte normal, que les scanners de code régex et statique ne peuvent pas analyser. Les chercheurs de HKUST ont démontré cela avec SkillCloak, un système qui transforme les tokens de commandes suspects et les chemins de connexion en formes équivalentes, que les agents peuvent reconstituer au moment du chargement du logiciel.Leur technique de emballage évite tous les scanners testés plus de 90 % du temps.La technique de réécriture a permis de détecter 80 % des scanners statiques, et 96 % avec un outil hybride.

Pendant ce temps, l’alternative comportementale – utiliser les compétences de déploiement dans un environnement simulé et observer les appels système, comme le fait l’outil SkillDetonate de la même équipe – permet de détecter 97 % des attaques sur des poids de données synthétiques, et 87 % sur des exemples du monde réel. Mais cela nécessite 2,5 minutes par compétence, contre quelques secondes pour la vérification statique. Le coût en termes de vitesse est important à grande échelle.

Le flux de capitaux qui compte

Le chiffre suivant n’est pas le nombre de malwares. C’est la différence entre les dépenses en matière de sécurité des entreprises et l’endroit où se trouvent ces points d’attaque.

Les dépenses en cybersécurité mondiales devraient atteindre environ 244 milliards de dollars en 2026.Une augmentation de 29 milliards de dollars par an, due en grande partie aux besoins liés à la gouvernance de l’IA (Gartner). Le sous-segment relatif à la cybersécurité de l’IA agentique se situe à…2,43 milliards de dollars, avec une croissance annuelle composée de 31,7 % jusqu’en 2031.Mais la gouvernance n’a pas encore atteint le niveau de compétence nécessaire.

Seulement environ 23 % des organisations disposent d’une stratégie formelle pour l’identification des agents IA. Seulement 14,4 % des agents sont mis en production avec une approbation sécuritaire complète, selon l’enquête sur la sécurité MCP menée par Practical DevSecOps.Le rapport de recherche de Noma Security en mai 2026 a montré que la plupart des organisations ne gèrent que les serveurs MCP.La partie observable et exploitable est visible ; quant aux compétences, qui transforment les instructions dans un langage naturel en éléments intégrés au contexte de raisonnement du modèle, elles restent invisibles pour les outils de sécurité traditionnels.

C’est là que s’établira la prochaine vague de dépenses en matière de sécurité. NVIDIA a annoncé NemoClaw lors du GTC 2026 : il s’agit d’une plateforme d’entreprise qui inclut des fonctionnalités de sandboxing, des politiques d’accès définies via YAML, ainsi qu’un outil de gestion de la confidentialité. Les partenaires de lancement incluent Box, Cisco, Atlassian, Salesforce, SAP et CrowdStrike. Mais NemoClaw n’est qu’un produit parmi ceux qui feront partie d’une catégorie entière.

La question structurelle n’est pas de savoir si les compétences des agents sont dangereuses. La question est de savoir si les entreprises les traitent comme des composants de la chaîne d’approvisionnement logicielle – avec des mécanismes de vérification des versions, de validation par hachage cryptographique, de surveillance en temps réel, et de permis d’utilisation – ou si elles continuent à les considérer comme des instructions simples. Comme l’a dit la chercheuse en cybersécurité Devashri Datta après l’expérience AIR : « Traiter les compétences des agents comme de simples textes ou instructions est une erreur architecturale fondamentale. Ce sont en réalité des ensembles d’instructions exécutables. »

Quoi regarder

• Changements dans la gouvernance de la base de données.Que ClawHub, MCP.so et LobeHub passent d’une publication ouverte à une vérification stricte des informations, ou si la Linux Foundation (qui détient maintenant MCP sous l’égide de l’Agentic AI Foundation) impose des normes de sécurité aux registres… Le modèle actuel est préparatoire à un incident comme celui de npm. Mais cela ne durera pas.
• Scanneur de compétences : taux d’évitement.Les résultats de SkillCloak de HKUST montrent que le taux de passage pour le packaging est de 90 %+, et celui pour la réécriture avec des outils hybrides est de 96 %. Cela constitue un critère de référence. Il reste à voir si le taux de évasion par les scanners de production restera supérieur à 50 % ou s’il augmentera. Ce chiffre détermine à quel point le scan statique est utile.
• Contrôles de temps de exécution pour l’adoption.Combien d’entreprises mettent en œuvre des outils de évaluation des compétences en environnement sandbox avant leur déploiement ? NVIDIA NemoClaw est le premier produit de ce type ; la question est de savoir à quelle vitesse cette catégorie de produits va se développer. Des outils de détection comportementale comme SkillDetonate existent, mais ils nécessitent une mise en œuvre adaptée pour les entreprises.
• Élargissement de la portée du AgentBaiting.Island a testé Claude Code, Gemini et ChatGPT. À mesure que de plus en plus d’agents de codage acquièrent des capacités d’exploration et d’installation autonomes – comme Cursor, Copilot Workspace, ou les outils natifs pour IDE – la surface d’attaque s’élargit. Il reste à voir si l’agent-baiting deviendra un scénario courant pour les équipes de test.
• Révolution SmartLoader C2.La campagne utilise un contrat intelligent Polygon pour stocker les adresses des serveurs de commande et de contrôle. Cela permet une rotation de l’infrastructure sans nécessiter de recompilation. Ce mécanisme de commande et de contrôle basé sur la blockchain signifie que les arrêts sont temporaires. À surveiller si les opérateurs migrent vers d’autres chaînes ou ajoutent des redondances.

FakeGit n’a rien violé. Il a publié des répositories fiables, et la fonction de détection d’agents s’est chargée du reste. Les mesures de protection importantes sont celles qui interrompent la chaîne avant l’exécution – pas après.