INTRODUÇÃO
A startup de recrutamento por IA Mercor confirmou um incidente de segurança vinculado a um ataque à cadeia de suprimentos, envolvendo o projeto de código aberto LiteLLM. A empresa, que trabalha com gigantes como OpenAI e Anthropic, foi uma das "milhares de empresas" afetadas pelo comprometimento do LiteLLM, atribuído ao grupo hacker TeamPCP. Paralelamente, o grupo de extorsão Lapsus$ reivindicou ter alvejado a Mercor e acessado seus dados, embora a conexão direta entre os ataques permaneça incerta.
DESENVOLVIMENTO
Fundada em 2023, a Mercor facilita pagamentos diários superiores a US$ 2 milhões e foi avaliada em US$ 10 bilhões após uma rodada de financiamento em 2025. O incidente veio à tona quando o Lapsus$ divulgou uma amostra de dados supostamente roubados, incluindo referências a informações do Slack, dados de tickets e vídeos de conversas entre sistemas de IA e contratantes. A porta-voz Heidi Hagberg afirmou que a empresa agiu "promptamente" para conter e remediar o problema, com uma investigação em andamento apoiada por especialistas forenses externos. No entanto, ela evitou comentar sobre a possível ligação com o Lapsus$ ou se dados de clientes e contratantes foram acessados, exfiltrados ou mal utilizados.
CONCLUSÃO
O caso destaca os riscos crescentes de ataques à cadeia de suprimentos em ecossistemas de IA, onde vulnerabilidades em projetos de código aberto, como o LiteLLM, podem comprometer múltiplas organizações. A resposta rápida da Mercor e a investigação em curso são passos críticos, mas a ambiguidade sobre o alcance do vazamento e a sobreposição de reivindicações hacker ressaltam a necessidade de maior transparência e reforço de segurança no setor. A resolução efetiva dependerá de esclarecimentos sobre a origem do ataque e medidas preventivas robustas.
