Mercor révèle avoir subi une cyberattaque liée à une compromission du projet open source LiteLLM
Mercor, la startup américaine spécialisée dans le recrutement par intelligence artificielle, a confirmé avoir été victime d'une cyberattaque après qu'un groupe de hackers spécialisé dans l'extorsion a revendiqué le vol de données depuis ses systèmes. L'incident est lié à une compromission du projet open-source LiteLLM, une bibliothèque Python largement utilisée pour interfacer différents modèles de langage via une API unifiée. Les attaquants auraient exploité une vulnérabilité dans cette dépendance pour accéder aux infrastructures de Mercor.
Résumé et traduction réalisés par Le Fil IA à partir de TechCrunch AI. Lire l'article original →
La compromission d'une librairie open-source utilisée en production représente un risque systémique : toutes les entreprises ayant intégré LiteLLM dans leur stack technique sont potentiellement exposées. Pour Mercor, dont le cœur de métier repose sur le traitement de données sensibles de candidats et d'entreprises clientes, une fuite de données constitue un préjudice réputationnel et légal significatif. Ce type d'attaque par la chaîne d'approvisionnement logicielle (supply chain) est en forte augmentation dans l'écosystème IA.
Cet incident illustre un angle mort croissant dans la sécurité des startups IA : la dépendance massive à des bibliothèques open-source tierces insuffisamment auditées. LiteLLM, très populaire dans l'écosystème des développeurs IA, concentre désormais l'attention des équipes de sécurité. L'affaire devrait accélérer les discussions sur la nécessité d'audits de sécurité formels pour les dépendances critiques, à l'heure où des centaines de startups construisent leurs produits sur ces mêmes fondations.
Les startups et développeurs européens utilisant LiteLLM dans leur stack IA sont potentiellement exposés à la même vulnérabilité de chaîne d'approvisionnement et doivent auditer leurs dépendances en urgence.
LiteLLM, c'est dans le stack de la moitié des devs IA en ce moment, donc l'exposition est large. Ce qui me dérange, c'est qu'on intègre ces libs à toute vitesse sans jamais regarder qui les maintient vraiment, avec quels moyens. Bon, ça va peut-être forcer un peu de rigueur sur les dépendances critiques, ce serait pas du luxe.