Шесть месяцев назад стартап Mercor, специализирующийся на обучении искусственного интеллекта с использованием данных, привлек $350 миллионов в раунде Series C, получив оценку в $10 миллиардов. Однако после официального признания 31 марта масштабной утечки данных компания оказалась в центре крупной кризисной ситуации.
Об этом сообщает ProIT
Утечка данных и реакция рынка
Хакерская группа заявила о получении 4 ТБ украденных данных из внутренних систем Mercor — среди них профили кандидатов, персональные данные, информация о работодателях, программный код и ключи API. Компания не подтвердила подлинность этих данных, отметив лишь, что проводит расследование и
«будет продолжать общаться с нашими клиентами и подрядчиками напрямую, когда это будет уместно, и прилагать необходимые ресурсы для решения ситуации как можно быстрее».
Mercor пояснила, что утечка произошла из-за взлома инструмента с открытым кодом LiteLLM, который загружается миллионы раз в день. В течение 40 минут LiteLLM содержал вредоносное программное обеспечение, которое похищало учетные данные пользователей. Украденные логины позволили злоумышленникам получить доступ к другим программам и аккаунтам, что вызвало дальнейшую цепочку утечек информации.
Хотя официальных данных о объемах украденной информации нет, последствия уже ощутимы. В частности, компания Meta приостановила сотрудничество с Mercor на неопределенный срок. В то же время OpenAI начала собственное расследование по поводу возможного влияния инцидента, но на момент публикации не приостановила сотрудничество с Mercor. По сообщениям, другие крупные разработчики AI-моделей также пересматривают свои отношения с компанией.
Судебные иски и другие осложнения
После инцидента пятеро подрядчиков Mercor подали судебные иски из-за возможной утечки их персональных данных. Одна из дел даже привлекает к ответственности LiteLLM и стартап Delve, который занимался сертификацией безопасности для LiteLLM. Согласно анонимным обвинениям, Delve могла фальсифицировать данные для получения сертификатов и сотрудничала с недобросовестными аудиторами, хотя компания отвергает эти обвинения и уже внедрила изменения в своей работе. В ответ Y Combinator прекратила сотрудничество с Delve.
LiteLLM отказалась от услуг Delve и сотрудничает с новой компанией для повторной сертификации. В то же время Mercor заявила, что никогда не была клиентом Delve. Однако, если последствия атаки продолжатся, компания может потерять значительную часть доходов — по информации анонимного источника, в начале года Mercor приближалась к $1 миллиарду годового дохода до утечки данных.