Mercor: Startup de IA de US$ 10B sofre ataque hacker via LiteLLM

O incidente de segurança que expôs dados da gigante do recrutamento por IA

A Mercor, startup de recrutamento por inteligência artificial avaliada em US$ 10 bilhões, confirmou um incidente de segurança ligado a um ataque de cadeia de suprimentos envolvendo o projeto open-source LiteLLM. O ataque foi associado ao grupo hacker TeamPCP, enquanto o grupo de extorsão Lapsus$ também reivindicou responsabilidade pelo vazamento de dados.

Como o ataque aconteceu?

O comprometimento ocorreu através do LiteLLM, uma biblioteca open-source amplamente utilizada que é baixada milhões de vezes por dia. O código malicioso foi identificado e removido em poucas horas, mas não antes de afetar "milhares de empresas", segundo a própria Mercor.

O que foi comprometido?

• Dados do Slack da empresa
• Informações de sistema de tickets
• Vídeos mostrando conversas entre sistemas de IA e contratantes
• Possível acesso a dados de clientes e contratantes

O impacto na startup bilionária

Fundada em 2023, a Mercor trabalha com empresas como OpenAI e Anthropic para treinar modelos de IA, contratando especialistas de domínio como cientistas, médicos e advogados, principalmente da Índia. A startup:

• Facilita mais de US$ 2 milhões em pagamentos diários
• Foi avaliada em US$ 10 bilhões após rodada Série C de US$ 350 milhões
• Tem Felicis Ventures como principal investidor

A resposta da empresa

Heidi Hagberg, porta-voz da Mercor, afirmou que a empresa "agiu prontamente" para conter e remediar o incidente. "Estamos conduzindo uma investigação completa apoiada por especialistas forenses terceirizados líderes", disse Hagberg.

As implicações para a segurança de IA

Vulnerabilidades em projetos open-source

O caso destaca os riscos de segurança em projetos open-source amplamente adotados. O LiteLLM, apoiado pela Y Combinator, é usado por milhares de empresas globalmente, criando um vetor de ataque em larga escala.

Mudanças pós-incidente

Como resultado do ataque, o LiteLLM fez mudanças significativas em seus processos de compliance:

• Mudou da polêmica startup Delve para a Vanta para certificações de compliance
• Reforçou protocolos de segurança
• Implementou monitoramento mais rigoroso

Lições aprendidas para empresas de tecnologia

Este incidente serve como alerta para toda a indústria de tecnologia sobre:

• A importância de auditorias regulares de segurança em dependências de software
• A necessidade de planos de resposta a incidentes robustos
• Os riscos específicos de cadeias de suprimentos em projetos open-source
• A vulnerabilidade de startups em crescimento rápido

O futuro da segurança em IA

À medida que empresas de IA continuam a crescer e lidar com dados sensíveis, a segurança cibernética se torna cada vez mais crítica. Investimentos em:

• Segurança de cadeia de suprimentos
• Monitoramento de dependências
• Resposta rápida a incidentes
• Transparência com stakeholders

serão essenciais para manter a confiança do mercado e proteger dados valiosos.