TechFlowの報道によると、4月3日、フォーチュン(Fortune)は、OpenAI、Anthropic、MetaなどのAI企業に学習データを提供しているスタートアップ企業Mercorが、重大なセキュリティ脆弱性の被害に遭ったと報じました。この事件は、オープンソースライブラリ「LiteLLM」を標的としたサプライチェーン攻撃が原因であり、同ライブラリはAIサービスとの接続に広く利用されており、1日のダウンロード数は数百万回に上ります。
攻撃はハッカー集団「TeamPCP」によって実行され、LiteLLMに悪意あるコードを挿入して認証情報の窃取を試みました。その後、別のハッカー集団「Lapsus$」が、Mercorから最大4TBに及ぶデータ(ソースコード、データベース記録、内部Slack通信記録、プラットフォーム上の対話動画など)を入手したと主張しました。未確認の報告によれば、Mercorの一部顧客のデータセットおよび機密AIプロジェクトに関する情報も漏洩した可能性があります。Mercorは、事態の拡大を即座に食い止めるとともに、第三者によるデジタルフォレンジック調査を開始したと発表しています。




