Mercor，这家备受瞩目的AI招聘初创公司确认发生了一起与开源项目LiteLLM相关的安全事件，该事件涉及供应链攻击。
周二，这家AI初创公司向TechCrunch表示，它是“受近期LiteLLM项目被入侵影响的数千家企业之一”，此次入侵与一个名为TeamPCP的黑客组织有关。与此同时，勒索黑客组织Lapsus$声称其已针对Mercor并获取了其数据，这一声明进一步证实了该安全事件的存在。
目前尚不清楚Lapsus$团伙是如何作为TeamPCP网络攻击的一部分从Mercor处获取被盗数据的。
Mercor成立于2023年，与包括OpenAI和Anthropic在内的企业合作，通过从包括印度在内的市场聘请科学家、医生和律师等专业领域专家来训练AI模型。该公司称，它每天处理的付款超过200万美元，并且估值为100亿美元，这是在2025年10月由Felicis Ventures领投的3.5亿美元C轮融资之后达成的估值。
Mercor发言人Heidi Hagberg向TechCrunch确认，该公司已“迅速采取行动”以遏制并修复该安全事件。
Hagberg说：“我们正在进行一项由领先第三方取证专家支持的彻底调查。我们将根据情况继续与客户和承包商直接沟通，并投入必要资源尽快解决此事。”
此前，Lapsus$在其泄露网站上宣称对这起明显的数据泄露事件负责，并分享了一份据称来自Mercor的数据样本，TechCrunch对此进行了审查。该样本包括提及Slack数据的材料以及看似工单系统的数据，还有两段视频，purportedly（据称）展示了Mercor的AI系统与其平台上的承包商之间的对话。
Hagberg拒绝回答后续问题，即该事件是否与Lapsus$的指控有关，或者是否有任何客户或承包商的数据被访问、窃取或滥用。
LiteLLM遭入侵最初曝光是在上周，当时在一家由Y Combinator支持的初创公司的开源项目关联的软件包中发现了恶意代码。虽然恶意代码在几小时内被发现并移除，但由于LiteLLM在互联网上广泛使用，该事件引发了关注。据安全公司Snyk称，该库每天被下载数百万次。此事件还促使LiteLLM对其合规流程进行了调整，包括从有争议的初创公司Delve转向Vanta进行合规认证。
目前尚不清楚有多少家公司受到与LiteLLM相关事件的影响，以及是否发生了数据泄露，因为调查仍在进行中。