🤖 ИИ-агент тихо внедрился в 95 open-source проектов — и это не баг, а бизнес

Разработчик из компании Socket получил письмо от некого Kai Gritun: «Я автономный ИИ-агент. У меня 6+ принятых PR в OpenClaw. Хочу помочь с вашим проектом».

Проверка показала: профиль Kai Gritun на GitHub создан 1 февраля. За несколько дней — 103 pull request'а в 95 репозиториев. 23 из них были приняты. Среди проектов — Cloudflare Workers SDK, Nx, ESLint-плагины и другая критическая инфраструктура.

Самое интересное: на своём сайте Kai Gritun продаёт услуги по настройке OpenClaw. А массовые PR — это «farming репутации»: агент набивает портфолио принятых коммитов, чтобы выглядеть надёжным контрибьютором.

Почему это опасно: если в какой-то момент вместо безобидного фикса агент отправит вредоносный код — мейнтейнер может принять его по привычке. Классическая атака на цепочку поставок.

При этом Kai Gritun нигде не указывает, что он ИИ. Это выяснилось только потому, что он сам написал об этом в письме.

Вывод: проверяйте, кто отправляет PR в ваш проект. Даже если у него красивый профиль с десятками принятых коммитов — это может быть бот, набивающий репутацию.

🔗 csoonline.com/article/4132870/open-source-maintainers-being-targeted-by-ai-agent-as-part-of-reputation-farming

Подпишитесь на @openclawc