Nel marzo 2026, una campagna di supply chain attack denominata TeamPCP ha compromesso alcuni dei pacchetti Python più diffusi negli ambienti di sviluppo AI. L’operazione ha colpito Trivy, LiteLLM e Telnyx SDK, sfruttando credenziali CI/CD rubate per pubblicare versioni malevole su PyPI. Il rischio non riguarda solo gli sviluppatori: coinvolge direttamente la sicurezza delle infrastrutture cloud aziendali.
La campagna TeamPCP: anatomia di un attacco a cascata
Come funziona il compromesso a catena
TeamPCP ha adottato un approccio multi-stadio e progressivo. Prima ha compromesso Trivy, lo scanner di sicurezza open source di Aqua Security. Poi ha utilizzato i token di pubblicazione sottratti per avvelenare i rilasci successivi. In questo modo, LiteLLM e il Telnyx Python SDK sono stati distribuiti con payload malevoli direttamente su PyPI.
Questo schema è elegante nella sua brutalità. Non serve violare direttamente l’obiettivo finale. È sufficiente compromettere un progetto fidato nell’ecosistema upstream.
I payload distribuiti avevano capacità concrete e pericolose:
- Furto di credenziali cloud (AWS, GCP, Azure)
- Esfiltrazione di chiavi SSH
- Raccolta di segreti Kubernetes
- Esecuzione remota di codice sui sistemi degli sviluppatori
Palo Alto Networks e la Cloud Security Alliance hanno documentato in modo indipendente la stessa operazione, confermando la natura coordinata dell’attacco.
Chi è TeamPCP?
TeamPCP è un attore identificato per la prima volta nel 2026. Non dispone ancora di una storia pubblica consolidata come i grandi gruppi APT. Tuttavia, la sofisticazione dell’operazione suggerisce capacità tecniche mature. Il gruppo dimostra una comprensione profonda delle pipeline CI/CD e degli ecosistemi di packaging open source.
Un trend sistemico: gli attacchi supply chain Python nel 2026
Un ecosistema sotto assedio
La campagna TeamPCP non è un episodio isolato. Il 2026 ha registrato un’ondata di attacchi supply chain mirati all’ecosistema Python e agli strumenti AI/ML. Ogni incidente segue lo stesso schema ricorrente.
Inoltre, gli attacchi si stanno concentrando proprio sugli ambienti di sviluppo AI. Questi ambienti hanno accesso privilegiato a credenziali cloud, modelli, dataset e infrastrutture critiche. Sono, di fatto, bersagli ad alto valore.
Tra gli incidenti più rilevanti degli ultimi mesi:
- Maggio 2026: il pacchetto
durabletaskdi Microsoft viene compromesso su PyPI. I payload rubano credenziali e si propagano lateralmente nelle infrastrutture cloud. - Giugno 2026: la campagna Hades avvelena numerosi pacchetti PyPI. Vengono esfiltrati token GitHub, credenziali cloud, chiavi SSH e segreti CI/CD.
- Aprile 2026: PyTorch Lightning viene compromesso. Anche in questo caso, versioni malevole vengono utilizzate per il furto di credenziali.
In tutti questi casi, il vettore è identico: compromissione di un account maintainer o di un workflow di rilascio automatizzato. Il risultato è la pubblicazione di versioni malevole che eseguono codice malevolo all’installazione o all’importazione.
Perché i tool AI sono bersagli prioritari
Vale la pena sottolineare un dato strutturale. I pacchetti usati dai team ML e platform engineering spesso dispongono di permessi ampi. Hanno accesso a bucket S3, endpoint di inferenza, registry di container e pipeline di training. Compromettere una sola dipendenza può aprire l’intero ecosistema.
Di conseguenza, la sicurezza dei pacchetti Python non è più una questione tecnica di nicchia. È diventata una priorità di governance per CISO e responsabili IT.
Come difendersi: controlli pratici per i team di sicurezza
Proteggere la catena di pubblicazione
Il primo intervento riguarda i token di pubblicazione. Molti di questi attacchi sono stati possibili grazie a token PyPI longevi e mal gestiti. La soluzione più efficace è adottare il Trusted Publishing basato su OIDC, che elimina la necessità di token statici nei workflow CI/CD.
Parallelamente, i team devono:
- Fissare le versioni dei pacchetti e verificare i relativi hash crittografici
- Monitorare i rilasci anomali che non corrispondono ai tag sorgente attesi
- Limitare l’accesso outbound dai build runner per impedire l’esfiltrazione
Contenere i segreti e ridurre il privilegio
In questo contesto, la gestione dei segreti diventa critica. I team dovrebbero:
- Ruotare immediatamente le credenziali dopo ogni incidente o sospetto
- Adottare identità di pubblicazione separate per ogni pacchetto mantenuto
- Applicare il principio del minimo privilegio agli account di automazione
Tuttavia, la misura più sottovalutata resta il monitoraggio centralizzato. Rilevare variazioni anomale nei workflow di packaging, nei token utilizzati e nelle release pubblicate permette di intercettare compromissioni prima che raggiungano gli utenti finali.
Per i team AI/ML, è consigliabile adottare anche allowlist esplicite per i pacchetti approvati e ispezioni sistematiche del comportamento a install-time.
Fonti
- Cloud Security Alliance – CSA Research Note: AI/ML PyPI Supply Chain Attack TeamPCP
- Palo Alto Networks Unit 42 – TeamPCP Supply Chain Attacks
- CSO Online – Python Package Security in 2026
Fonte: Articolo originale
La campagna TeamPCP evidenzia quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni che utilizzano le stesse dipendenze open source. Piattaforme come IsacChain consentono la condivisione sicura e verificata di indicatori di compromissione legati agli attacchi supply chain, supportando al contempo la compliance NIS2 automatizzata richiesta agli operatori di infrastrutture critiche. La verifica blockchain integrata garantisce l’integrità e la provenienza delle informazioni condivise, riducendo il rischio di disinformazione in scenari di attacco coordinato come quello di TeamPCP. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com