Mercor、ai採用ベンチャーに大規模サイバー攻撃：サプライチェーンの脆弱性が露呈

急速な成長を遂げていたAI人材採用プラットフォーム、Mercorが、サプライチェーン攻撃によって顧客情報漏洩の危機に直面しています。今回の事件は、単なる企業への攻撃に留まらず、オープンソースソフトウェアのセキュリティリスクを改めて浮き彫りにした、業界全体に警鐘を鳴らす出来事と言えるでしょう。

Litellmを巡る混乱：広範な影響が懸念される

Mercorによると、今回の攻撃はオープンソースライブラリであるLiteLLMの脆弱性を悪用したものです。LiteLLMは、大規模言語モデルとのインタラクションを容易にするために広く利用されており、Mercorだけでなく、多くの企業がこのツールに依存しています。つまり、今回の攻撃は、Mercor単独の問題ではなく、広範なサプライチェーン全体に波及する可能性を秘めているのです。

セキュリティ専門家は、今回の事件を「サプライチェーン攻撃の典型例」と指摘しています。攻撃者は、LiteLLMという共通の基盤に悪意のあるコードを混入させることで、一度の侵入で複数の企業を標的にすることが可能になります。まるで、血管に毒を流し込み、連鎖的に体全体を蝕むようなイメージです。

TeamPCPと名乗るグループが攻撃に関与しているという報道もありますが、データ窃取集団Lapsus$がMercorの内部データへのアクセスを主張しており、事件の全容解明には、さらなる時間が必要とされています。

Mercorのビジネスモデルと、それがもたらすリスク

Mercorは、2023年に設立されたばかりのスタートアップでありながら、OpenAIやAnthropicといった大手AI企業と提携し、AIモデルのトレーニングに必要な専門知識を持つ人材の採用を支援しています。その事業規模は、日々の取引額が200万ドルを超えるほどであり、高額なデータと機密情報を扱っていることから、サイバー攻撃の標的として非常に魅力的な存在だったのです。2025年10月には、100億ドルの企業評価を得て、その成長の速さを見せつけました。

今回のデータ漏洩の可能性は、特に憂慮すべき事態です。なぜなら、Mercorが扱うデータは、AIモデルの学習に使用されるため、その内容によっては、AIの偏りや誤作動を引き起こすリスクがあるからです。

迅速な対応と、残された課題

Mercorは、事態の深刻さを認識し、フォレンジック専門家を投入した徹底的な調査を開始しています。しかし、Lapsus$が内部データを公開していることを考えると、すでに情報が外部に漏洩している可能性は否定できません。顧客や関係者への影響を最小限に抑えるためには、迅速かつ透明性の高い情報開示が不可欠です。

今回の事件は、オープンソースソフトウェアの利用におけるセキュリティリスクを改めて認識させる教訓となりました。企業は、自社のシステムだけでなく、サプライチェーン全体のリスクを評価し、適切な対策を講じる必要があります。特に、LiteLLMのような広く利用されているライブラリについては、最新のセキュリティパッチを適用し、定期的な脆弱性診断を実施することが重要です。

この事件が、AI技術の発展と並行して、セキュリティ対策の強化を促す起爆剤となることを期待します。今後、Mercorがどのように対応し、今回の事件からどのような教訓を得るのか、注視していく必要があります。今回の攻撃は、技術革新の影に潜むリスクを、私たちに改めて突きつけたのです。