「Mini Shai-Hulud」供應鏈攻擊爆發，鎖定 AntV 生態系與 Claude Code

TeamPCP 以 Mini Shai-Hulud 蠕蟲發動軟體供應鏈攻擊，鎖定開發者廣泛使用的 NPM 與 PyPI 套件生態系，受害者包括 Mistral AI、TanStack 與 Guardrails AI。惡意程式可隨套件安裝擴散，讓下游專案與企業系統面臨程式碼、憑證及內部資料外洩風險。

資安公司將此案列為 2026 年迄今規模最大的程式碼儲存庫攻擊：TeamPCP 已滲透逾 400 個 NPM 與 PyPI 套件，並兜售近 450 個 Mistral AI 程式碼儲存庫。最新調查顯示攻擊進一步波及 GitHub，近 3,800 個內部儲存庫遭外洩，受影響範圍持續擴大。

SAP 的 NPM 套件位於企業軟體開發供應鏈，一旦發布流程或相依套件遭植入惡意程式，風險可能隨安裝鏈擴散至開發環境。此次名為 Mini Shai-Hulud 的攻擊涉及駭客組織 TeamPCP，目標是竊取雲端帳號與開發憑證，並藉可信套件掩護入侵。

資安公司近期揭露，TeamPCP 在 SAP 生態系統的 NPM 套件中置入惡意腳本，並濫用 Anthropic 的 Claude Code 掛鉤功能，將惡意內容自動提交至受害者的程式碼儲存庫。截至 2026 年 7 月 20 日，報導尚未公布受害機構數、財務損失、確切發現日期及受影響套件版本。