这家饱受争议的合规初创公司 Delve 的故事不断出现波折。
TechCrunch 证实，Delve 是为 Context AI 执行安全认证的合规公司，而这家 AI 代理培训初创企业上周披露了一起安全事件，导致热门应用和网站托管巨头 Vercel 发生数据泄露。另一方面，曾发生过自身安全事件的 Lovable 已不再是 Delve 的客户。
背景回顾：指控与信任危机
上个月，Delve 遭到抨击，因为一名匿名举报人指控该初创企业伪造客户数据，并在其合规和认证流程中使用橡皮图章式的审计机构；Delve 否认了这些指控。不久之后，黑客攻击了 Delve 的一家安全认证客户 LiteLLM，并在其开源代码中植入恶意软件；事件发生后，LiteLLM 告诉 TechCrunch，他们正在抛弃 Delve 并重新进行认证。
Delve 还被指控窃取了一个开源工具，并在未适当注明许可证归属的情况下将其作为自己的作品发布；这家初创企业的声誉变得动摇，促使 Delve 毕业所在的 Y Combinator 与其断绝关系。
Vercel 数据泄露事件始末
快进到上周末，Vercel 表示黑客已入侵其内部系统并访问了一些客户数据；该公司称，在一名员工下载了由 Context AI 制作的应用程序并将其连接到托管在 Google 上的 Vercel 企业账户后，黑客得以入侵；黑客滥用该员工对其 Google 账户的访问权限，从而闯入了 Vercel 的一些内部系统。
Context AI 被卷入 Vercel 攻击事件后，《The Pragmatic Engineer》工程通讯的作者 Gergely Orosz 在 X 平台的一篇帖子中表示，Delve 是负责 Context AI 安全认证的公司。Context AI 现已向 TechCrunch 确认，其此前确实使用过 Delve，但此后已弃用该初创公司产品，并正在重新获得认证的过程中。
“是的，Context 曾是 Delve 的客户，”Context AI 的一位发言人告诉 TechCrunch。“在三月围绕 Delve 的报道之后，我们将合规计划迁移至 Vanta，并聘请了独立审计机构 Insight Assurance 进行新的审查。作为重新审查的一部分，我们开始更新公开材料，待新证明完成后将予以公布。”该发言人补充道。
安全认证的局限性与行业反思
必须承认，仅凭安全认证本身并不能阻止安全问题。事实上，Delve 向 TechCrunch 发送了一份声明，强调了这一点。声明称：“Delve 帮助客户为 SOC 2 等审计做好准备。客户完全自行构建和管理自己的代码库、基础设施以及日常安全运营。”尽管如此，认证的目的在于验证公司已建立相应的政策和流程，以阻碍攻击并降低客户数据泄露的可能性。
一个典型的例子是：Lovable 曾是 Delve 的客户，但在举报人的指控曝光后，这个氛围编码平台表示它早在 2025 年底就弃用了该初创企业；该公司表示，它已经完成了一项安全认证的重新审核，并正在进行其他认证的重新审核。尽管如此，Lovable 在周一承认，它曾无意中公开分享了客户聊天数据的访问权限；该公司还表示，它此前已解雇了数月前发出漏洞报告以提醒公司注意该问题的人员；Lovable 为最初否认存在数据泄露而道歉，尽管它表示该问题是由配置错误引起的，而非黑客攻击所致。
夏威夷之行争议
围绕 Delve 甚至流传着更奇怪的消息；匿名举报人 DeepDelver 发表了另一篇帖子，指控 Delve 拒绝向客户退款，但仍于 4 月 15 日至 4 月 19 日期间带领其 20 多名员工前往夏威夷参加外出会议。举报人向 TechCrunch 提供了一些令人信服的证据，佐证了所谓夏威夷之行的说法，但 TechCrunch 无法证实其他指控。
编辑注：本文在发表后进行了更新，加入了来自 Delve 的评论。