在网络犯罪史上，很少有开源软件攻击能像 TeamPCP 这样引发剧烈的连锁崩塌。从安全扫描工具到主流生成式 AI 接口，该团伙通过一连串污染包击穿了全球上千家机构的防线，而终结这场风暴的关键推手，并非传统的跨国警务侦查，而是一名潜伏在黑客核心群里的 Google 卧底分析师。
在 SentinelOne LABScon 安全大会上，Google 威胁情报团队（GTIG）披露了旗下 Mandiant 团队对代号 UNC6780 的黑客组织 TeamPCP 的渗透细节。两名核心嫌疑人已于 2026 年 8 月在澳大利亚落网，但这起案件最值得推敲的，并非年轻黑客的覆灭，而是高度自动化的开源软件基础设施一旦被撬动，防护边界会以何等惊人的速度瓦解。
Trivy与LiteLLM沦陷：自动化流水线的级联灾难
现代软件工程高度仰赖代码托管平台与包管理器的自动化构建。TeamPCP 的致命之处，在于精准抓住了流水线凭据这一阿喀琉斯之踵。整个攻击链始于 2026 年 2 月 27 日，该团伙利用 Aqua Security 的开源漏洞扫描工具 Trivy 的持续集成（CI）工作流缺陷，窃取了高权限发布令牌。
拿下入场券后，攻击在 3 月 19 日至 20 日迅速升级。黑客推送了植入恶意程序的 Trivy 版本以及带毒的 GitHub Actions，并在各生态中大规模部署名为 SANDCLOCK 的凭据窃取程序。3 月 24 日，他们利用窃得的凭据篡改了知名 AI 接口调用工具 LiteLLM，发布带有后门的 PyPI 1.82.7 和 1.82.8 版本；3 月至 5 月期间，Checkmarx 代码库、Docker 镜像与 Jenkins 插件也相继失守。
到了 5 月 11 日至 12 日，该团伙甚至祭出以《沙丘》沙虫命名的自动化蠕虫 Mini Shai-Hulud，利用前端库 TanStack 迅速感染至欧洲大模型企业 Mistral AI 的官方 npm 与 PyPI SDK。虽然 Mistral AI 随后确认核心全局基础设施未受波及，但部分员工个人设备已遭侵害。依靠自动化滚雪球，TeamPCP 最终席卷超 1000 家机构，连带 OpenAI 与欧盟委员会的终端设备也进入了受害名单。
- 提醒.开发团队往往对第三方开源依赖进行严格扫描，却忽略了扫描工具与 CI 脚本自身的写权限管理；防御链条最薄弱的环扣，恰恰是安全团队赋予最高特权的自动化构建账号。
赛博卧底与黑吃黑：地下经济的裂解
面对失控的供应链感染，Google 没有选择常规的被动打补丁，而是派出了代号人设打入黑客腹地。早在 3 月该团伙初露锋芒时，Mandiant 的一名卧底分析师便设法赢得了外围成员的信任，成功挤进名为 CanisterWorm 的 12 人核心加密聊天群，甚至直接拿到了黑客存放战利品的后端服务器权限。
在群组中，黑客曾狂妄宣称自己完成了现代历史上最大规模的软件供应链入侵。然而握有超 50万组凭据 的 TeamPCP 在商业变现上却极度笨拙，仅通过零星勒索榨取了数万美元。为了加速套现，他们引狼入室，拉拢了臭名昭著的数据勒索老手 ShinyHunters 协助敲诈。
但地下犯罪网络从未存在真正的契约。ShinyHunters 很快背叛了分成协议，私吞赃款并公开发文嘲弄，甚至暗中将 TeamPCP 的完整聊天记录打包提供给了 Google 分析师。这场内讧直接导致 TeamPCP 缩小核心圈子、转移服务器，也将卧底分析师踢出了群聊。
潜伏期间，Google 启动了新设立的网络干扰小组（Cyber Disruption Unit）。研究员 Austin Larsen 团队没有挨个等待受害企业排查，而是直接向微软、亚马逊 AWS 等头部云平台发送数百封通报，抢在黑客出手前批量吊销被盗 Token。他们甚至在群内截获了一段黑客利用 AI 工具生成的零日漏洞利用代码——该代码可绕过主流登录软件的双因素认证（2FA），Google 随即协助开发者在被黑产利用前完成了修补。
西澳落网与跨国起诉的不对称
失去内线权限并未阻碍侦查收网，黑客自身业余的安全防范意识最终断送了他们的退路。调查人员在早期泄露的论坛数据库中顺藤摸瓜，发现核心成员注册邮箱为 sheepstealing@gmail.com。追溯该邮箱在 2019 年针对盗版软件退款的纠纷记录，其绑定的 PayPal 账户直指真实域名 ruben@thomsonfamily.net.au。
更具讽刺意味的是，在更迭服务器后，黑客竟将盗取的庞大凭据库自动同步备份到了挂在同一邮箱下的 Google Drive 网盘中。这给 Google 和美国联邦调查局（FBI）递上了铁证。
自动化让两个二十出头的年轻人撬动了上千家巨头，却没能补上最基础的常识漏洞。
2026 年 8 月 26 日，西澳警方与澳大利亚联邦警察（AFP）展开联合突击，在珀斯沿海郊区逮捕了 21 岁的 Ruben Ian Thomson 与 23 岁的 Louis Michael Gaebler。两人在珀斯地方法院合计面临 14项指控，案件造成的排查与恢复成本高达 数亿美元。
然而在法律定性上，跨国司法协作却展现出微妙的断层：
| 司法管辖方 | 指控对象 | 罪名性质与范围 | 核心诉讼依据 |
|---|---|---|---|
| 澳大利亚 (AFP) | Thomson (8项) / Gaebler (6项) | 两人均定为主要参与者，涉数据修改与未经授权访问 | 澳洲本土住所搜查与设备数字物证 |
| 美国司法部 (DOJ) | 仅 Ruben Ian Thomson | 8月25日大陪审团提起两项 CFAA 联邦重罪起诉 | 针对美境内基础设施与企业的越境攻击 |
美国大陪审团对 Gaebler 的公开指控暂时缺位，反映出跨国数字取证在角色认定与证据采信上的不对称。
伴飞式执法的边界与代价
这起案件标志着私营科技巨头在对抗国家级与大型网络犯罪时的角色演变。Mandiant 不再只是事后撰写事故分析报告的安全服务商，而是以情报主导行动，深度涉足甚至引领跨国刑事侦查。
- 结论.私营情报公司长期在黑客核心群内卧底伴飞，一方面赢得了前置拦截核心凭据的时间，但另一方面，攻击在 4 月和 5 月依然扩散至 TanStack 与 Mistral AI，引发了业界对监测取证与即时止损之间权衡尺度的审慎讨论。
随着开源生态承载全球数万亿美元的商业与算力系统，仅凭开发者的自觉与开源包管理者的静态扫描已不足以御敌。从 Trivy 的 Token 失守到 Mistral 的供应链震荡，安全架构的核心假设必须彻底改变：任何身处内网环境的自动化令牌，都不再享有默认的信任特权。