數據外洩後，估值十億美元的創業公司Mercor陷入一月低潮

六個月前，Mercor 在籌得創紀錄的 3.5 億美元 C 輪融資後聲勢看漲，當時這家 AI 數據訓練新創公司的估值達到 10 億美元。但就在三月三十一日承認成為數據外洩目標後，公司便陷入一連串麻煩。從那之後，一個駭客團體聲稱從 Mercor 的系統中竊取了 4TB 的數據，包括應聘者履歷、個人識別資訊、雇主數據、原始碼以及 API 金鑰。Mercor 尚未評估這些數據是否真實，僅重申正在調查，並表示「將適時直接與客戶與承包商溝通，並投入必要資源盡快解決問題。」Mercor 表示，其數據外洩是因為開放源碼工具 LiteLLM 被入侵所致。這個工具非常受歡迎，每天被下載數百萬次。在四十分鐘內，這個工具曾藏有竊取憑證的惡意軟體 —— 一種可以盜取登入憑證的惡意程式。這些憑證被用來取得更多軟體與帳戶的存取權，進而盜取更多憑證，如此循環。雖然目前尚未有正式說明指出 Mercor 多少數據被竊取，但影響已經產生。據《Wired》報導，Meta 已經無限期中止與 Mercor 的合約。（Mercor 拒絕對 TechCrunch 該報導發表評論。）如同其他合同 AI 數據訓練公司，Mercor 處理一些模型製造商最重要的商業機密：他們用來訓練模型的專屬數據集與流程。這對他們來說非常重要，即使 Meta 花費 143 億美元買下 Mercor 的競爭對手 Scale AI，仍持續與 Mercញ合作。對 Mercor 而言，有一點好消息（或許……我們還得觀察）：OpenAI 向《Wired》確認正在調查其在 Mercor 外洩事件中的曝露情況，但表示當時尚未中止或終止與 Mercor 的合約。然而，《TechCrunch》從多個消息來源得知，其他大型模型製造商也可能正在重新評估與 Mercor 的關係，雖然目前尚無法確認足夠細節以具名說明。（Mercor 拒絕評論。）同時，Mercor 的五家承包商已向《Business Insider》報導，因涉嫌個人數據外洩而提起訴訟。這些訴訟是否代表嚴重威脅，或是只是機會主義與麻煩，目前還不清楚。（Mercor 拒絕評論。）其中一項訴訟經《TechCrunch》審查後，將 LiteLLM 與 Delve 列為被告。這看起來很奇怪，或許有些牽強，但這裡的聯結是：LiteLLM 使用 AI 合規新創公司 Delve 來取得其安全認證。Delve 被一名匿名舉報者指控涉嫌偽造數據以取得安全認證，並使用走過場的審計師。雖然安全認證本身無法直接防止駭客成功發動攻擊，但其目的是確保公司有適當的流程來降低這種威脅。雖然 Delve 同時否認這些指控並實施運營變更，但 Delve 自己也陷入困境，甚至讓 Y Combinator 過去與其斷絕關係。LiteLLM 離開 Delve，現在正與另一家 AI 合規新創公司合作重新取得安全認證。LiteLLM 也發表了一份完整的安全事件報告。但 Mercor 自己並非 Delve 的客戶，這一點公司已向《TechCrunch》確認。如果 Mercor 的後果持續延續，將會有大量收入受到威脅。據匿名來源告訴《The Information》，這家公司原本預計今年上半年營收將超過 10 億美元，但在數據外洩事件後，這個預測已經受到影響。