融资10亿美元的AI初创Mercor遭遇供应链攻击：OpenAI和Anthropic客户数据或已泄露

估值达100亿美元的 AI 招聘平台 Mercor 确认遭遇重大网络安全事件，可能导致客户和用户数据外泄。Mercor 的客户名单中包含 OpenAI 和 Anthropic 等知名 AI 公司，事件引发业界对 AI 供应链安全的高度关注。

调查结果显示，Mercor 的数据泄露与 LiteLLM 供应链投毒事件直接相关。LiteLLM 是业界广泛使用的开源库，用于连接应用程序与各类 AI 服务。黑客组织 TeamPCP 在该库中植入恶意代码，旨在窃取开发者凭证并在行业内大规模传播，在被发现前已累计数百万次下载。

TeamPCP 黑客组织随后宣称对 Mercor 实施入侵并成功窃取数据。安全研究人员发现，该组织近期开始与 Lapsus$ 等专业勒索团伙合作，攻击手段正在升级。Lapsus$ 以社交工程和钓鱼攻击闻名，专注于窃取用户凭证后渗透企业网络。

Mercor 成立于三年前，通过招募医学、法律、文学等领域的专家为 AI 模型提供训练数据。去年10月，公司完成3.5亿美元C轮融资，估值突破100亿美元大关，成为 AI 招聘领域的领头羊。

事件暴露了 AI 行业供应链的系统性脆弱性。当成千上万家企业依赖同一个开源库时，一次供应链攻击的影响将被指数级放大。安全专家呼吁 AI 企业建立多层供应链安全审计机制。

Mercor 事件再次证明，在 AI 军备竞赛中，安全不再是可选项，而是必选项。忽视供应链安全的代价，可能远超技术领先带来的收益。