Mercor 表示其遭涉及開放來源 LiteLLM 專案遭入侵的網路攻擊

Mercor，一家備受歡迎的AI招聘新創公司，已確認與開放原始碼專案LiteLLM相關的供應鏈攻擊事件。這家AI新創公司在週二告訴TechCrunch，它「是數以千計受影響的公司之一」，該事件與LiteLLM專案遭駭客集團TeamPCP入侵有關。事件確認的同時，勒索軟體駭客集團Lapsus$聲稱已針對Mercor並取得其資料存取權。目前尚不清楚Lapsus$集團是如何透過TeamPCP的網路攻擊取得Mercor的資料。Mercor於2023年成立，與包括OpenAI和Anthropic等公司合作，透過聘請來自印度等市場的科學家、醫生與律師等專門領域專家來訓練AI模型。該新創公司表示，其平台每日支付金額超過200萬美元，並在2025年10月由Felicis Ventures領投的3.5億美元C輪融資後，估值達到100億美元。Mercor發言人Heidi Hagberg向TechCrunch確認，公司已「迅速採取行動」以控制並修復該安全事件。Hagberg表示：「我們正在進行徹底調查，並由領先的第三方鑑識專家提供支持。」她補充說：「我們會適時與客戶與承包商直接溝通，並投入必要資源盡快解決此事件。」此前，Lapsus$在其洩漏網站聲稱對資料外洩事件負責，並分享了一份 allegedly 從Mercor取得的資料樣本，TechCrunch已審閱該樣本。樣本包含提及Slack資料與看似為工單資料的內容，以及兩段聲稱顯示Mercor AI系統與承包商在平台上對話的影片。Hagberg拒絕回答後續問題，詢問該事件是否與Lapsus$的聲稱有關，或是否有客戶或承包商資料被存取、外洩或濫用。LiteLLM專案的漏洞事件最初是在週末浮現，當時在與Y Combinator支持的新創公司相關的開放原始碼專案中發現了惡意程式碼。雖然惡意程式碼在數小時內被識別並移除，但由於LiteLLM在互聯網上被廣泛使用，該事件引起關注，根據安全公司Snyk的數據，該庫每天被下載數百萬次。該事件也促使LiteLLM改變其合規流程，包括從爭議性的創業公司Delve轉換至Vanta進行合規認證。目前尚不清楚有多少家公司受LiteLLM相關事件影響，或是否有資料外洩的情況，因為調查仍在進行中。