Buscaban en SKILL.md y el virus estaba en el README: hallan 73 trampas para IA en GitHub

Un archivo de habilidad que parece seguro no garantiza la seguridad de la herramienta de IA. El analista Thomas Rocca identificó 73 repositorios en GitHub que se hacían pasar por complementos de Claude, Codex, MCP y OpenClaw. Los comandos sospechosos no estaban en SKILL.md, sino en los README y en archivos ZIP. Al 4 de noviembre, 51 repositorios seguían accesibles; los otros 22 devolvían un error 404.

El hallazgo está relacionado con una campaña mucho más amplia llamada FakeGit. En octubre, la empresa Apiiro calculó 17 610 repositorios con archivos SmartLoader, y en 34 horas los atacantes actualizaron más de 13 000 proyectos. En el 97 % de los cambios estudiados solo se tocó el README, y en el 88 % de los casos los enlaces apuntaban a un ZIP con el cargador. No se deben sumar ambas muestras sin comprobar sus intersecciones.

Los señuelos copiaban los nombres codex-mcp-go, mcp-superset, hermes-agent y ContinuousClaude. La documentación parecía habitual, y el SKILL.md no delataba el engaño. Algunos archivos ZIP ocultaban ficheros en los directorios .claude/hooks/config/ y .claude/commands/, que recuerdan a carpetas de servicio de agentes de IA. Entre los propietarios había tanto nombres aleatorios como cuentas con indicios de posible compromiso.

El README proponía descargar el ZIP del repositorio y ejecutar un instalador para Windows, a veces con la indicación de ignorar la advertencia de SmartScreen. En dos archivos verificados había un archivo por lotes .bat o .cmd, el intérprete LuaJIT y un script Lua ofuscado disfrazado de .txt. La lista de 73 direcciones no implica que todos los archivos ZIP recibieran una verificación técnica del mismo alcance.

Tras su ejecución, SmartLoader interpreta código Lua y se mantiene activo mediante tareas del Programador de tareas de Windows. En la muestra analizada, las tareas se disfrazaban bajo nombres como CCleaner y Office ClickToRun. En otras muestras de la campaña, el cargador obtenía la dirección del servidor de control mediante un contrato inteligente en Polygon y desplegaba StealC, capaz de robar contraseñas, cookies y sesiones activas del navegador.

El peligro no se limita a la persona que busca un complemento por su cuenta. Anteriormente, en pruebas controladas Claude Code, Gemini y ChatGPT detectaron herramientas falsas y en ocasiones recomendaron instrucciones del README. En una de las pruebas, un agente descargó archivos pero se detuvo antes de ejecutarlos. Los resultados muestran la posibilidad de engaño al buscar herramientas, no un contagio automático de todos los usuarios de IA.

Repositorios similares distribuyeron ZIP maliciosos ya en primavera y verano. En julio, Island detectó alrededor de 7 600 proyectos FakeGit, incluidos más de 800 presentados como habilidades de IA y servidores MCP. Las 14 millones de descargas de archivos registradas por la empresa no equivalen a 14 millones de víctimas: la estadística puede incluir solicitudes repetidas y consultas automáticas. Para los 73 proyectos de noviembre, se desconoce el número de afectados.

No se han detectado compromisos de Claude o Codex ni una vulnerabilidad del propio protocolo MCP. Para la cadena descrita es necesario ejecutar un archivo malicioso en Windows; la lectura de SKILL.md no infecta el equipo. Los autores del hallazgo aconsejan comprobar el propietario y el historial del repositorio, revisar el README y no ejecutar ZIP adjuntos. No se sabe cuántas direcciones seguían accesibles después del 4 de noviembre ni si hubo infecciones reales a partir de ellas.