Безопасный на вид файл навыка не гарантирует безопасность ИИ-инструмента. Аналитик Томас Рочча выявил 73 репозитория GitHub, выдававших себя за дополнения Claude, Codex, MCP и OpenClaw. Подозрительные команды находились не в SKILL.md, а в README и ZIP-архивах. На 4 ноября 51 репозиторий оставался доступен, остальные 22 уже возвращали ошибку 404.
Находка связана с гораздо более широкой кампанией FakeGit. В октябре компания Apiiro подсчитала 17 610 репозиториев с архивами SmartLoader, а за 34 часа злоумышленники обновили свыше 13 тысяч проектов. В 97% изученных изменений затронули только README, в 88% случаев ссылки вели к ZIP с загрузчиком. Обе выборки нельзя складывать без проверки пересечений.
Приманки копировали названия codex-mcp-go, mcp-superset, hermes-agent и ContinuousClaude. Документация выглядела привычно, а SKILL.md не выдавал подвоха. Некоторые архивы прятали в каталогах .claude/hooks/config/ и .claude/commands/, напоминающих служебные папки ИИ-агентов. Среди владельцев встречались как случайные имена, так и учётные записи с признаками возможного захвата.
README предлагал скачать ZIP из репозитория и запустить установщик Windows, иногда с советом проигнорировать предупреждение SmartScreen. В двух проверенных архивах находились командный файл .bat или .cmd, интерпретатор LuaJIT и запутанный Lua-скрипт под видом .txt. Список из 73 адресов не означает, что все архивы прошли одинаково глубокую техническую проверку.
После запуска SmartLoader исполняет Lua-код и закрепляется через задания планировщика Windows. В исследованном образце задания маскировались под CCleaner и Office ClickToRun. В других образцах кампании загрузчик получал адрес управляющего сервера через смарт-контракт Polygon и доставлял StealC, способный похищать пароли, cookies и активные сеансы браузера.
Опасность не ограничивается человеком, который сам ищет расширение. Ранее при контролируемых тестах Claude Code, Gemini и ChatGPT находили поддельные инструменты и порой рекомендовали инструкции из README. В одном испытании агент скачал файлы, но остановился до запуска. Результаты показывают возможность обмана при поиске инструментов, а не автоматическое заражение всех пользователей ИИ.
Похожие репозитории распространяли вредоносные ZIP ещё весной и летом. Island в июле обнаружила около 7600 проектов FakeGit, включая более 800 под видом навыков ИИ и MCP-серверов. Зафиксированные компанией 14 млн загрузок архивов не равны 14 млн пострадавших: в статистику могли попасть повторные и автоматические запросы. Для ноябрьских 73 проектов число жертв неизвестно.
Взлом Claude или Codex и уязвимость самого протокола MCP не выявлены. Для описанной цепочки нужен запуск вредоносного файла в Windows, чтение SKILL.md компьютер не заражает. Авторы находки советуют проверять владельца и историю репозитория, изучать README и не запускать вложенные ZIP. Сколько адресов остаётся доступно после 4 ноября и были ли реальные заражения через них, неизвестно.
