Un attacco supply chain può trasformare un componente affidabile in un punto di raccolta per credenziali, chiavi API e token di autenticazione.

È il modello emerso dalla campagna attribuita a TeamPCP, che tra marzo e aprile 2026 ha colpito strumenti di sviluppo e sicurezza come Trivy, Checkmarx KICS, LiteLLM e il pacchetto Python di Telnyx.

Il codice malevolo è entrato in workflow GitHub Actions, estensioni e pacchetti PyPI, raggiungendo gli ambienti delle organizzazioni che li utilizzavano. Una ricerca di CloudSEK ha ricostruito oltre 434.000 pipeline CI/CD potenzialmente esposte e più di 2.500 organizzazioni interessate dal caso LiteLLM. Il caso conferma che una dipendenza legittima può diventare un accesso privilegiato alla rete aziendale.

Da Trivy alle infrastrutture AI

La campagna sarebbe iniziata con la compromissione di un ambiente CI/CD collegato ad Aqua Security, la società che mantiene Trivy. Gli aggressori avrebbero sfruttato credenziali non completamente revocate durante una precedente rotazione e ottenuto token GitHub con privilegi sufficienti per modificare i riferimenti usati dalle GitHub Actions. Tra il 19 e il 20 marzo, diversi tag di trivy-action e setup-trivy furono spostati verso commit contenenti codice malevolo. Il nome della dipendenza restava invariato, ma il workflow eseguiva un contenuto diverso da quello atteso.