Meta暂停与AI初创Mercor合作，数据泄露波及AI行业

据《连线》杂志周五报道及知情人士向Business Insider确认，Meta已暂停与AI训练初创公司Mercor的所有合作，同时正在调查一起可能导致AI行业敏感信息泄露的数据安全事件。此次暂停使数千名承包商无法在与Meta相关的AI训练项目中登记工作时长。

Mercor是一家成立三年、估值100亿美元的初创公司，该公司证实自己是“数千家公司中的一家”，受到了涉及LiteLLM的供应链攻击影响。LiteLLM是一个广泛使用的开源库，用于将应用程序连接到AI服务。这次攻击可追溯到2026年3月下旬，当时一个名为TeamPCP的黑客组织入侵了LiteLLM的PyPI发布凭证，并向两个软件包版本中注入了恶意代码。尽管被污染的软件包仅发布了约40分钟，但据安全公司Snyk称，LiteLLM每天的下载量达数百万次，这使得此次攻击的影响范围极大。

Mercor发言人Heidi Hagberg告诉TechCrunch，该公司已“迅速采取行动遏制并修复了该事件”，并在“领先的第三方取证专家的支持下进行彻底调查”。该公司拒绝确认客户或承包商数据是否被访问或窃取。

在勒索组织Lapsus$在其泄密网站上声称拥有据称从Mercor窃取的四万亿字节数据后，情况进一步升级，其中包括939吉字节的源代码、一个211吉字节的用户数据库，以及三万亿字节的存储数据，内含视频面试和身份验证文件。TechCrunch审查了数据样本，其中似乎包括Slack消息、内部工单信息，以及Mercor的AI系统与承包商之间的对话视频。Lapsus$的拍卖列表此后已被删除。

Mercor为一些大型AI公司提供训练数据，包括OpenAI和Anthropic，这引发了人们对专有数据集和机密AI项目详细信息可能已被泄露的担忧。OpenAI表示没有用户数据泄露，但正在调查专有训练材料可能暴露的情况。在上周的RSA大会上，Mandiant Consulting首席技术官Charles Carmakal估计有超过1,000个SaaS环境正在应对TeamPCP供应链攻击的连锁效应，并警告这一数字可能增长到10,000。

“那1,000多个下游受害者可能会再扩大500个、1,000个，甚至10,000个，”Carmakal说。The Register