Il punto non è solo la massa di package manomessi. TeamPCP mostra un raggio d’azione più ampio e più stabile di quanto si pensasse, e ha già dimostrato di poter passare dalla supply chain software a infrastrutture AI esposte, dove un singolo server compromesso può diventare il trampolino per infettarne altri. Questo rompe l’idea di una campagna isolata e la sostituisce con un operatore capace di spostarsi tra livelli diversi della fiducia tecnica.
Oligo Security collega al medesimo attore attività che risalgono al 2020, passando per i recenti injection in oltre 1.000 package e per una campagna di fine 2025 su ShadowRay che ha prodotto il primo botnet auto-propagante osservato su infrastruttura AI hijacked. Le tracce ricorrenti passano dagli stessi IP, domini, file server e server di command and control, e il quadro include anche una rapida evoluzione dei payload.
Per chi mantiene package open-source o gestisce Ray e ShadowRay esposti, il rischio non è solo il package compromesso o il singolo host bucato: è la capacità dello stesso attore di usare una foothold come strato di propagazione verso altri workload e sistemi adiacenti.