AI招聘初创公司Mercor确认通过开源LiteLLM项目的妥协遭到入侵，一个勒索团伙声称对窃取公司数据负责。此次攻击展示了广泛使用的AI基础设施项目中的漏洞如何在整个生态系统中造成连锁安全风险。LiteLLM充当代理层，标准化不同AI提供商之间的API调用——使其成为有吸引力的基础设施，但也成为攻击者的高价值目标。

这次供应链攻击突出了AI开发中的一个关键盲点。随着公司快速集成开源AI工具以加速部署，他们正在继承来自可能缺乏企业级安全实践的项目的安全风险。LiteLLM作为中间件的角色意味着单一妥协可能会暴露多个下游应用程序及其数据。专门针对AI基础设施的攻击表明，攻击者正在适应利用AI繁荣的匆忙采用模式。

虽然Mercor承认了这一事件，但关于访问的数据范围或在LiteLLM中被利用的具体漏洞的详细信息仍然很少。该公司没有披露客户数据、专有AI模型或招聘算法是否受到妥协。这种不透明是典型的但无助——AI社区需要更清晰的事件披露来理解和缓解整个生态系统中的类似风险。

对于使用LiteLLM或类似AI基础设施项目的开发者来说，这一事件要求立即进行安全审计。审查您的依赖链，实施适当的访问控制，并考虑将AI基础设施与敏感数据存储隔离。即插即用AI工具的便利性带来了许多团队没有充分考虑的真正安全权衡。