上海
一個犯罪團伙剛剛以五萬美元的價格在市場上列出了GitHub的四千個內部源代碼倉庫。每倉庫十二美元五十分。GitHub是每個超大規模云服務商用來交付運行在價值七百二十五億美元的AI基礎設施周期上的軟件的平臺，而這個周期迄今為止僅產生了0.29%的可衡量生產力提升。基底正在被拍賣。大廈仍在建造中
TeamPCP，這個自二月起被Palo Alto Unit42、Wiz和Google的威脅情報團隊追蹤的財務動機網絡犯罪團伙，于5月19日在一個名為HackRisk.io的地下論壇上發布了該報價。GitHub次日上午確認，已通過設備隔離和密鑰輪換識別并遏制了漏洞，并未發現對客戶數據、用戶倉庫或企業賬戶的影響。GitHub自身的取證評估將內部倉庫數量定為大約三千八百個，而不是賣家列出的四千個
TeamPCP并未直接攻破GitHub。2026 年3月該團伙對Trivy的七十七個版本標簽中的七十六個強制推送了惡意代碼。 Trivy是由Aqua Security發布的廣泛部署的開源容器漏洞掃描器，并在數千家公司的CI/CD管道中運行。Trivy在這些管道中運行，并將環境變量、云令牌和SSH密鑰上傳到假冒域名，并使用一個名為tpcp-docs的公共GitHub倉庫作為備用信道和死信箱。幾周內該團伙入侵了 Checkmarx KICS GitHub Action，并攻破了Aqua Security 自身的內部組織。本應掃描漏洞的工具本身就是漏洞。僅 Cisco就有超過三百個私有倉庫被下游克隆。5月通過OpenVSX市場分發的惡意Visual Studio Code 擴展落入一名GitHub員工的機器上。兩個月的收獲憑證與平臺內部的一個開發工具相遇
Palo Alto Unit42、Wiz、SANS、Trend Micro和Google均將TeamPCP分類為講 英語的財務動機犯罪分子，可能在東非運作。Google自5月11日起以UNC6780的名稱追蹤該團伙，比公開上市早八天。2020年的SolarWinds需要大鵝國家資源來完成類似的供應鏈入侵。2026年的TeamPCP則將其作為副業來做。標價相當于英偉達預期季度收入的三十秒。誰買下它，誰就繼承了一張所有主要公司構建和部署軟件的地圖，加上源代碼檢查時揭示的任何憑證和未公開漏洞
GitHub由Microsoft擁有。托管OpenAl 訓練基礎設施、Anthropic研究代碼庫以 及每個投入AI資本支出的超大規模云服 務商部署管道的倉庫，都坐落在一個其內部源代碼如今在地下市場流通的平臺上。Andrej Karpathy昨天加入Anthropic， 組建團隊使用Claude加速下一個Claude 的預訓練
輪換2026年中觸及任何CI/CD管道的每 個憑證。AI建設正在進行的平臺正悄然處于緊急狀態。其中尚未體現在股價上
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
