这起案件最值得关注的地方，不只是两名澳大利亚男子被捕，而是警方指称攻击者把恶意代码藏进了开发者信赖的开源工具。下游企业可能仅仅因为使用了被篡改的软件包或工具，就把攻击者带进自己的开发、云端或持续集成环境。

不过，案件仍处于指控阶段。以下内容区分了警方已经确认的事实、调查人员提出的估算，以及目前尚未得到充分证实的说法。

谁被捕了？

澳大利亚联邦警察（AFP）表示，警方于2026年8月26日展开联合行动，逮捕了一名来自科特斯洛的21岁男子和一名来自曼杜拉的23岁男子。行动由AFP与西澳大利亚警察厅（WAPF）实施，并与美国联邦调查局（FBI）展开协作。

警方在科特斯洛、汉密尔顿希尔和曼杜拉的相关地点执行搜查令，扣押了电子设备及其他材料，准备进行取证分析。7

公开报道将两人指认为鲁本·伊恩·汤姆森和路易斯·迈克尔·盖布勒。其中，盖布勒的完整姓名是Louis Michael Gaebler，在需要准确指认时，不宜只称其为“Michael Gaebler”。两人于8月27日出庭或按安排出庭于珀斯地方法院。37

AFP表示，对查获材料的取证工作仍在继续，也没有排除未来出现更多逮捕或追加指控的可能。目前公开材料没有确认两人的保释结果，因此不应把具体保释条件或结果当作已证实事实。

14项指控分别是什么？

两人合计面临14项罪名：

• 汤姆森面临8项指控：持有用于实施计算机犯罪的数据；4项“未经授权修改数据、意图实施严重犯罪”的指控；提供用于实施计算机犯罪的数据；未遵守第3LA条命令；以及处理涉嫌犯罪所得，金额至少为10万澳元。
• 盖布勒面临6项指控：持有用于实施计算机犯罪的数据；4项未经授权修改数据、意图实施严重犯罪的指控；以及提供用于实施计算机犯罪的数据。7

AFP列出的汤姆森相关罪名法定最高刑包括：持有或提供相关数据最高3年；每项未经授权修改数据罪最高5年；不遵守第3LA条命令最高10年；涉嫌处理犯罪所得的罪名最高20年。盖布勒所涉持有、提供数据及未经授权修改数据等罪名，也分别对应3年和5年的法定最高刑。7

这里的“最高刑”是单项罪名的法定上限，不是对最终判决的预测，也不意味着各项刑期一定会自动累加。两名被告在被证明有罪前均依法推定无罪。

TeamPCP被指采用了什么攻击方式？

AFP指称，TeamPCP将恶意代码植入开源代码仓库中的软件。开发者和企业随后可能在不知情的情况下使用这些工具，使攻击者得以进一步接触下游系统并窃取敏感信息。7

警方称，这场行动可能：

• 波及全球超过1000家机构；
• 导致超过50万份凭据被盗；
• 造成至少300GB数据外泄；
• 产生规模达数亿美元的修复和善后成本。7

这些数字是调查阶段的估算和指控，并非最终确认的受害者数量或损失清单。独立安全报道还将TeamPCP与Trivy、Checkmarx KICS和LiteLLM遭入侵事件联系起来；另有报道提到Mercor以及与GitHub相关的基础设施。36

这类攻击的危险之处在于“信任链”本身：企业未必直接打开恶意文件，而可能通过安装一个看似正常的开发工具、运行一个被篡改的自动化任务，间接暴露云凭据、访问令牌或其他机密信息。

欧盟委员会是否也受到影响？

目前，关于欧盟委员会的说法，已有比“可能受到影响”更有力的证据。欧盟网络安全机构CERT-EU表示，其高度确信，欧盟委员会相关云环境的初始入侵入口来自Trivy供应链遭到的攻击；这一事件此前已被公开归因于TeamPCP。CERT-EU还报告称，大量数据被外泄。23

这说明Trivy供应链入侵与欧盟委员会云端事件之间存在公开报道的联系。但这并不能单独证明澳大利亚被告个人一定参与了该事件，也不能自动证明围绕TeamPCP的所有其他指控。

哪些说法仍未获证实？

早期报道和网络讨论中，有几项具体说法应谨慎看待：

• 汤姆森使用“Ellis”这一化名；
• 他一直领导TeamPCP至2026年3月；
• 他个人获利约2万美元；
• TeamPCP是由一名核心人物带领的松散成员网络，而非正式层级组织；
• TeamPCP创造了最初的Shai-Hulud蠕虫。

安全研究确实将TeamPCP与一轮被称为“Mini Shai-Hulud”的传播活动联系起来，但这并不等于已经证明TeamPCP创造了最初的Shai-Hulud恶意软件。类似地，称该组织技术能力有限、主要依靠快速改造公开漏洞和现成恶意软件思路，也属于分析判断，并非AFP起诉公告中的正式结论。3

部分媒体把汤姆森描述为TeamPCP的领导者或主要参与者，但目前可获得的高权威材料尚未证实更多关于其化名、组织地位和资金收益的细节。随着起诉文件、庭审记录或后续调查公告公开，这些问题可能得到进一步澄清。

接下来会发生什么？

眼下的重点是对搜查中扣押的电子设备及其他材料进行取证分析。AFP表示相关工作仍在进行，未来仍可能出现追加指控或更多逮捕。7

因此，目前能够确认的范围比网络上最宽泛的描述更窄：两名男子在澳大利亚与美国合作调查中被控14项罪名，案件涉及一场据称规模庞大的软件供应链攻击行动。警方估计的影响范围十分广泛，但有关个人领导地位、化名、收入以及TeamPCP确切组织结构的说法，仍有待法院文件和后续调查确认。

这起案件最值得关注的地方，不只是两名澳大利亚男子被捕，而是警方指称攻击者把恶意代码藏进了开发者信赖的开源工具。下游企业可能仅仅因为使用了被篡改的软件包或工具，就把攻击者带进自己的开发、云端或持续集成环境。

不过，案件仍处于指控阶段。以下内容区分了警方已经确认的事实、调查人员提出的估算，以及目前尚未得到充分证实的说法。

谁被捕了？

澳大利亚联邦警察（AFP）表示，警方于2026年8月26日展开联合行动，逮捕了一名来自科特斯洛的21岁男子和一名来自曼杜拉的23岁男子。行动由AFP与西澳大利亚警察厅（WAPF）实施，并与美国联邦调查局（FBI）展开协作。

警方在科特斯洛、汉密尔顿希尔和曼杜拉的相关地点执行搜查令，扣押了电子设备及其他材料，准备进行取证分析。7

公开报道将两人指认为鲁本·伊恩·汤姆森和路易斯·迈克尔·盖布勒。其中，盖布勒的完整姓名是Louis Michael Gaebler，在需要准确指认时，不宜只称其为“Michael Gaebler”。两人于8月27日出庭或按安排出庭于珀斯地方法院。37

AFP表示，对查获材料的取证工作仍在继续，也没有排除未来出现更多逮捕或追加指控的可能。目前公开材料没有确认两人的保释结果，因此不应把具体保释条件或结果当作已证实事实。

14项指控分别是什么？

两人合计面临14项罪名：

• 汤姆森面临8项指控：持有用于实施计算机犯罪的数据；4项“未经授权修改数据、意图实施严重犯罪”的指控；提供用于实施计算机犯罪的数据；未遵守第3LA条命令；以及处理涉嫌犯罪所得，金额至少为10万澳元。
• 盖布勒面临6项指控：持有用于实施计算机犯罪的数据；4项未经授权修改数据、意图实施严重犯罪的指控；以及提供用于实施计算机犯罪的数据。7

AFP列出的汤姆森相关罪名法定最高刑包括：持有或提供相关数据最高3年；每项未经授权修改数据罪最高5年；不遵守第3LA条命令最高10年；涉嫌处理犯罪所得的罪名最高20年。盖布勒所涉持有、提供数据及未经授权修改数据等罪名，也分别对应3年和5年的法定最高刑。7

这里的“最高刑”是单项罪名的法定上限，不是对最终判决的预测，也不意味着各项刑期一定会自动累加。两名被告在被证明有罪前均依法推定无罪。

TeamPCP被指采用了什么攻击方式？

AFP指称，TeamPCP将恶意代码植入开源代码仓库中的软件。开发者和企业随后可能在不知情的情况下使用这些工具，使攻击者得以进一步接触下游系统并窃取敏感信息。7

警方称，这场行动可能：

• 波及全球超过1000家机构；
• 导致超过50万份凭据被盗；
• 造成至少300GB数据外泄；
• 产生规模达数亿美元的修复和善后成本。7

这些数字是调查阶段的估算和指控，并非最终确认的受害者数量或损失清单。独立安全报道还将TeamPCP与Trivy、Checkmarx KICS和LiteLLM遭入侵事件联系起来；另有报道提到Mercor以及与GitHub相关的基础设施。36

这类攻击的危险之处在于“信任链”本身：企业未必直接打开恶意文件，而可能通过安装一个看似正常的开发工具、运行一个被篡改的自动化任务，间接暴露云凭据、访问令牌或其他机密信息。

欧盟委员会是否也受到影响？

目前，关于欧盟委员会的说法，已有比“可能受到影响”更有力的证据。欧盟网络安全机构CERT-EU表示，其高度确信，欧盟委员会相关云环境的初始入侵入口来自Trivy供应链遭到的攻击；这一事件此前已被公开归因于TeamPCP。CERT-EU还报告称，大量数据被外泄。23

这说明Trivy供应链入侵与欧盟委员会云端事件之间存在公开报道的联系。但这并不能单独证明澳大利亚被告个人一定参与了该事件，也不能自动证明围绕TeamPCP的所有其他指控。

哪些说法仍未获证实？

早期报道和网络讨论中，有几项具体说法应谨慎看待：

• 汤姆森使用“Ellis”这一化名；
• 他一直领导TeamPCP至2026年3月；
• 他个人获利约2万美元；
• TeamPCP是由一名核心人物带领的松散成员网络，而非正式层级组织；
• TeamPCP创造了最初的Shai-Hulud蠕虫。

安全研究确实将TeamPCP与一轮被称为“Mini Shai-Hulud”的传播活动联系起来，但这并不等于已经证明TeamPCP创造了最初的Shai-Hulud恶意软件。类似地，称该组织技术能力有限、主要依靠快速改造公开漏洞和现成恶意软件思路，也属于分析判断，并非AFP起诉公告中的正式结论。3

部分媒体把汤姆森描述为TeamPCP的领导者或主要参与者，但目前可获得的高权威材料尚未证实更多关于其化名、组织地位和资金收益的细节。随着起诉文件、庭审记录或后续调查公告公开，这些问题可能得到进一步澄清。

接下来会发生什么？

眼下的重点是对搜查中扣押的电子设备及其他材料进行取证分析。AFP表示相关工作仍在进行，未来仍可能出现追加指控或更多逮捕。7

因此，目前能够确认的范围比网络上最宽泛的描述更窄：两名男子在澳大利亚与美国合作调查中被控14项罪名，案件涉及一场据称规模庞大的软件供应链攻击行动。警方估计的影响范围十分广泛，但有关个人领导地位、化名、收入以及TeamPCP确切组织结构的说法，仍有待法院文件和后续调查确认。