Island hat am 13. Oktober eine Untersuchung zu mindestens 88 öffentlichen GitHub-Repositories veröffentlicht, die mit der Malware-Kampagne MicrosoftSystem64 in Verbindung stehen. Mehrere dieser Projekte enthielten tatsächlich funktionierende Software. Die schädliche Komponente lag in der npm-Abhängigkeitskette, während Dokumentation, Tests und Entwicklungsverlauf einen gewöhnlichen Open-Source-Eindruck vermittelten.
Bei einer Suche nach einem MCP-Server für einen Shopify-Shop erschien eines der betroffenen Repositories in den Empfehlungen von ChatGPT. Eine getrennte Suche über Google AI Overview lieferte dasselbe Projekt. Island hatte in beiden Tests weder den Repository-Namen noch einen Hinweis auf die Kampagne vorgegeben. Das sind zwei gezielte Beobachtungen, keine Messung der allgemeinen Empfehlungswahrscheinlichkeit.
Die manipulierte Abhängigkeit hatte einen plausiblen Zweck
Im untersuchten MCP-Projekt ergänzten die Betreiber eine Redis-basierte Speicherung von Shopify-Zugangstokens. Dadurch wirkte die neue Abhängigkeit wie ein sinnvoller Bestandteil der Anwendung. Die eigentliche Schadsoftware wurde über nachgelagerte npm-Pakete verteilt. Island ordnet sie einer plattformübergreifenden Remote-Access-Malware zu.
Die Forscher beobachteten außerdem wechselnde Paketnamen bei weitgehend gleichbleibendem Repository. Ein einmal geprüftes Paket-IOC reichte damit nicht aus, um spätere Varianten derselben Infrastruktur zu erkennen. SafeDep hatte zuvor eine verwandte mehrstufige Abhängigkeitskette technisch untersucht; die 88 Repositories und die beiden AI-Empfehlungen stammen aus Islands eigener Erhebung.
Forks und Commit-Historien dienten als Vertrauenssignale
Ein Teil der Repositories enthielt übernommene Commit-Historien älterer Projekte, teilweise mit veränderter Autorenzuordnung. Bei einem anderen Projekt fanden die Forscher ein Skript zur Erzeugung von rund 57 künstlichen Entwicklungsständen.
Besonders auffällig waren die Forks: Bei sieben untersuchten AI- und MCP-Repositories lagen 664 von 673 aufeinanderfolgenden Fork-Intervallen zwischen 179 und 182 Sekunden. Über die gesamte untersuchte Gruppe zählte Island 9.881 Stars und 65.681 Forks. Diese Zahlen belegen Aktivität, nicht die Zahl echter Nutzer. Das regelmäßige Zeitmuster spricht für Automatisierung.
Die Untersuchungen belegen nicht, dass die Angreifer gezielt das Ranking der Sprachmodelle manipulierten. Ebenso wenig ist nachgewiesen, dass jemand allein aufgrund der beiden beobachteten Empfehlungen Schadsoftware installierte.
Ein AI-Vorschlag ist keine Prüfung der Lieferkette
Wer einen Coding-Agenten Software suchen und installieren lässt, sollte die Entscheidung über neue Abhängigkeiten von der Ausführung trennen. Zu prüfen sind die tatsächliche Herkunft des Repositories, Änderungen gegenüber dem ursprünglichen Projekt, transitive Abhängigkeiten und Installationsskripte. Sterne, Forks und ein plausibler README-Text ersetzen diese Prüfung nicht.
Bei Agenten mit Shell-Zugriff ist zusätzlich relevant, ob ein vorgeschlagenes Paket unmittelbar installiert werden darf oder eine explizite Freigabe benötigt. Islands Fall zeigt eine reale Malware-Infrastruktur und eine beobachtete Schwäche der AI-gestützten Softwareauswahl, keinen nachgewiesenen automatischen Angriff durch den Assistenten.
Quellen: Island, 13. Oktober 2026: https://support.island.io/blog/how-attackers-built-software-an-ai-would-recommend SafeDep, unabhängige Untersuchung der Abhängigkeitskette: https://safedep.io/ulid-xyz-transitive-dependency-delivery-chain/