AI招聘独角兽Mercor陷网络攻击漩涡
据TechCrunch报道，备受关注的AI招聘初创公司Mercor近日确认遭受了一次严重网络攻击。这起事件由一个自称勒索黑客团伙的组织公开宣称责任，他们声称通过妥协开源项目LiteLLM，成功窃取了Mercor系统中的敏感数据。事件曝光后，Mercor迅速回应，承认存在安全事件，并启动内部调查。
TechCrunch原文摘要：The AI recruiting startup confirmed a security incident after an extortion hacking crew took credit for stealing data from the company's systems.
作为AI驱动的招聘平台，Mercor利用先进的大语言模型（LLM）自动化简历筛选、面试评估等流程，帮助企业高效匹配人才。公司成立于2023年，迅速崛起为估值数亿美元的独角兽，客户包括多家硅谷巨头。然而，这次攻击不仅威胁其声誉，还可能泄露海量求职者个人信息，引发隐私担忧。
Mercor公司背景与业务模式
Mercor的核心竞争力在于其AI招聘引擎，该引擎整合了多种LLM模型，如GPT系列和Claude，实现对数百万份简历的智能解析。公司宣称，其算法准确率高达95%，远超传统人力资源工具。Mercor的客户群涵盖科技、金融和医疗等领域，年处理简历量超过千万。
在AI热潮下，招聘行业正加速数字化转型。根据Statista数据，2025年全球AI招聘市场规模预计达150亿美元。Mercor的成功得益于开源生态的支撑，但也埋下隐患。此次事件凸显，AI初创企业在追求速度的同时，安全防护往往滞后。
LiteLLM开源项目：AI开发者的必备工具
LiteLLM是一个广受欢迎的开源Python库，由BerriAI团队维护，主要用于统一调用多家LLM提供商的API接口，包括OpenAI、Anthropic、Google等。它简化了开发者在多模型环境下的集成，支持代理模式和负载均衡。截至目前，LiteLLM在GitHub上星标超过10万，下载量每月数百万。
攻击者据称利用LiteLLM的供应链漏洞，可能通过恶意依赖包或代码注入方式入侵。开源软件供应链攻击近年频发，如2024年的xz-utils后门事件和Log4Shell漏洞。这些攻击往往隐蔽性强，利用开发者对第三方库的信任，悄然渗透企业系统。Mercor作为LiteLLM的重度用户，其生产环境直接暴露风险。
攻击细节与Mercor的应急回应
黑客团伙在暗网论坛发布截图，展示窃取的数据库片段，包括用户邮箱、薪资预期和面试记录。他们要求Mercor支付赎金，否则将公开全部数据。Mercor于4月1日官方博客发布声明：“我们确认了一起安全事件，已隔离受影响系统，并聘请第三方安全公司进行取证。用户数据安全是首要，目前无证据显示核心模型受损。”
公司同时通知受影响用户更改密码，并承诺补偿措施。初步评估显示，泄露数据约涉及数万求职者，但未波及支付信息。Mercor CEO表示，将加强代码审查，并贡献LiteLLM安全补丁。
行业影响：AI供应链安全的警钟
此次事件并非孤例。2024年，多家AI公司如Stability AI和Hugging Face均报告开源依赖攻击。AI生态高度依赖开源，供应链风险呈指数级放大。根据Gartner预测，到2027年，80%的软件故障将源于供应链问题。
编者按：开源是AI创新的基石，但安全审计机制亟待完善。开发者应采用SBOM（软件物料清单）和Sigstore签名验证。企业需实施零信任架构，定期扫描依赖。Mercor事件提醒AI从业者：技术飞跃不能以安全为代价。未来，预计将涌现更多AI专属安全工具，如专用LLM沙箱。
从更广视角看，此次攻击或预示勒索团伙转向高价值AI目标。监管层面，美国CISA已呼吁开源基金会提升响应速度。Mercor的快速披露值得肯定，但数据泄露的长期影响仍需观察。
防范建议与未来展望
为避免类似风险，AI企业可参考OWASP Top 10，优先修复注入和依赖漏洞。LiteLLM维护者已发布紧急更新，用户应立即升级。同时，行业呼吁建立AI安全联盟，共享威胁情报。
Mercor事件虽是挫折，但也为其注入安全基因。凭借强大技术底蕴，公司有望反弹。AI招聘市场潜力巨大，安全合规将成为新赛道。
本文编译自TechCrunch，作者Jagmeet Singh，原文日期2026-04-01。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接