匿名帖指控合规初创公司 Delve 造假，或致客户面临 HIPAA 刑责与 GDPR 重罚
本周，一篇匿名 Substack 帖子指控合规初创公司 Delve “虚假地”让数百名客户误以为符合隐私与安全法规要求，可能导致这些客户面临《健康保险流通与责任法案》（HIPAA）下的刑事责任及《通用数据保护条例》（GDPR）下的高额罚款。
Delve 是一家由 Y Combinator 支持的初创公司，去年宣布完成 3200 万美元 A 轮融资，估值达 3 亿美元（该轮由 Insight Partners 领投）。周五，该公司在博客上反驳上述指控，称该 Substack 帖子“具有误导性”且“包含许多不准确的声明”。
DeepDelver：汇集资源调查，指控制造虚假证据
这篇 Substack 帖子的署名为“DeepDelver”，自称曾在一家已终止合作的 Delve 客户处工作。他在回复 TechCrunch 邮件时表示，出于对 Delve 报复的担忧而选择保持匿名。
DeepDelver 回忆称，去年十二月收到一封邮件，声称 Delve “泄露了一份包含机密客户报告的电子表格”。尽管 Delve CEO Karun Kaushik 随后向客户保证合规且无敏感数据外泄，但 DeepDelver 与其他客户仍产生怀疑。
“由于都有对 Delve 体验感到失望的共同经历，并且普遍感觉事情有些蹊跷，我们决定汇集资源并一起进行调查。”他们写道。
调查结论指出，Delve “通过制造虚假证据、代表认证工厂生成审计结论以盖章认可报告，并在告知客户已达到 100% 合规的同时跳过主要框架要求，从而实现了其作为‘最快平台’的主张。”
DeepDelver 详细指责 Delve 向客户提供“伪造的董事会会议、测试和流程的证据”，迫使客户“要么采用伪造的证据，要么进行大部分手动工作，几乎没有真正的自动化或人工智能支持。”
结构性欺诈指控：审计公司与信任页面问题
DeepDelver 声称，Delve 几乎所有客户都经过 Accorp 和 Gradient 两家审计公司的审计。这两家公司被描述为“同一运营体系的一部分”，主要在印度运营，在美国仅有名义上的存在。
这些公司表示只是在为 Delve 生成的报告盖章。因此，DeepDelver 指出 Delve “颠覆”了正常的合规结构：“在发生任何独立审查之前，Delve 就生成了审计结论、测试程序和最终报告，将自己置于实施者和审查者的双重角色中。这并非技术细节问题，而是一种结构性欺诈，使整个认证无效。”
此外，DeepDelver 还称 Delve 通过托管包含从未实施的安全措施的信任页面，帮助客户“误导公众”。他表示，在其公司与 Delve 讨论相关问题期间，Delve “给我们寄来了好几箱甜甜圈……以让我们满意”。尽管如此，DeepDelver 的雇主据称已撤下信任页面，不再依赖 Delve 进行合规管理。
Delve 回应：仅提供模板，报告由独立审计师出具
针对指控，Delve 回应称其根本不发布合规报告，而是一个“自动化平台”，用于接收合规信息并向审计师提供访问权限。该公司强调：“最终报告和意见仅由独立的持牌审计师出具，而非 Delve。”
Delve 表示，客户可选择与自己选定的审计师合作，也可选择 Delve 网络中的独立、认证第三方审计公司。这些审计师是“行业中广泛使用的知名公司，包括其他合规平台也在使用”。
关于“虚假证据”指控，Delve 反驳称只是提供“模板，以帮助团队根据合规要求记录其流程，其他合规平台也是如此”，并强调“草稿模板不等于‘预填证据’”。Delve 补充称，正在“积极调查任何泄露事件”，且“仍在审阅 Substack 上的内容”。
DeepDelver 再驳斥：多项严重指控未获回应
当被问及 Delve 的回应时，DeepDelver 告诉 TechCrunch，对其回应的“懒惰、笨拙和肆无忌惮感到困惑”。他表示：“他们试图通过否认拥有‘预填证据’而改称其为‘模板’来逃避问责，实际上是将采用这些‘模板’的责任推卸给客户。”
DeepDelver 补充道，还有“多项非常严重的指控”完全未得到 Delve 回应，包括“印度的指控、缺乏 AI（他们只谈论‘自动化’），以及信任页面中包含从未实施的控件”。他承诺，“第二部分将很快跟进”。
额外安全漏洞披露
在最初的 Substack 帖子之后，X 用户 James Zhou 表示能够访问 Delve 中的敏感信息，如员工背景调查和股权归属时间表。Dvuln 创始人 Jamieson O’Reilly 分享了更多细节，称这是他与 Zhou 关于“Delve 外部攻击面中存在多个严重安全漏洞”的对话内容。
TechCrunch 曾向 Delve 网站列出的媒体联系人地址发送邮件寻求评论，但邮件被退回。不过在本文发布后，TechCrunch 收到了一份本周晚些时候举行的“Delve 演示”日历邀请。
本文最初于 2026 年 3 月 21 日发布。已根据 DeepDelver 通过电子邮件提供的答复、Jamieson O’Reilly 提供的所谓安全漏洞额外信息，以及 Delve 对 TechCrunch 回应的更多细节进行了更新。