TeamPCP 駭客入侵開發者套件庫，散布含惡意程式碼的 AI 工具

駭客組織 TeamPCP 利用供應鏈攻擊手法，入侵 PyPI 與 NPM 等程式碼儲存庫，將含有惡意程式碼的更新版本（如 Mini Shai-Hulud 蠕蟲）混入正常開發工具中。當開發者或企業自動更新套件時，惡意程式碼便會悄悄執行，竊取敏感資料或遠端控制系統。此手法隱蔽性極高，因為攻擊者利用了開發者對官方套件庫的信任。一般開發者容易在不知情的情況下，將惡意更新視為正常維護而執行，導致系統被滲透。許多開發者未仔細檢查更新日誌或程式碼內容，直接信任自動更新機制，這正是攻擊者利用的弱點。建議開發者定期審查套件更新日誌，並使用數位簽章驗證程式碼來源，避免直接執行未經驗證的更新。