Meta ha sospeso tutta la collaborazione con l’appaltatore di dati Mercor a seguito di un significativo incidente di sicurezza, che ha avuto un impatto sui dati sensibili di formazione del settore dell’intelligenza artificiale. Questa mossa arriva mentre anche altri importanti laboratori di intelligenza artificiale, incluso OpenAI, rivalutano la loro partnership con Mercor per determinare l’intera portata della violazione.
La posta in gioco: i segreti gelosamente custoditi dell’intelligenza artificiale
Mercor è un fornitore chiave di set di dati di formazione su misura per aziende come OpenAI e Anthropic. Questi set di dati sono fondamentali per le prestazioni dei modelli di intelligenza artificiale (come ChatGPT e Claude) e sono pertanto mantenuti altamente riservati. Il rischio non è solo finanziario; I dati trapelati potrebbero fornire ai concorrenti, compresi quelli cinesi, informazioni dettagliate sui metodi di formazione, dando loro un vantaggio nel panorama dell’intelligenza artificiale in rapida evoluzione.
Mentre OpenAI sta indagando se i suoi dati proprietari siano stati esposti, la società insiste sul fatto che i dati degli utenti rimangono inalterati. Anthropic deve ancora commentare la situazione. La stessa Mercor ha confermato l’attacco, affermando che si trattava di una delle “migliaia di organizzazioni in tutto il mondo” colpite. La pausa nei progetti di Meta lascia gli appaltatori in un limbo, potenzialmente a rischio di perdita di posti di lavoro fino alla ripresa dei lavori.
La violazione: come è avvenuta
Sembra che l’attacco abbia avuto origine tramite aggiornamenti compromessi dello strumento API AI LiteLLM, colpendo potenzialmente migliaia di aziende. Si sospetta un gruppo di hacker noto come TeamPCP, sebbene un altro gruppo, Lapsus$, abbia inizialmente rivendicato la responsabilità. I ricercatori di sicurezza ritengono che l’affermazione di Lapsus$ sia probabilmente falsa, poiché TeamPCP è l’attore principale.
TeamPCP ha guadagnato importanza attraverso attacchi alla catena di fornitura ed estorsione di dati, con legami con gruppi di ransomware. Il gruppo ha anche mostrato motivazioni politiche, distribuendo malware distruttivi in regioni legate all’Iran.
Perché è importante: l’aumento degli attacchi alla catena di fornitura
La violazione del Mercor evidenzia una tendenza in crescita: gli attacchi alla catena di fornitura stanno diventando il metodo preferito per compromettere obiettivi di alto valore. Prendendo di mira un fornitore di terze parti (come Mercor), gli aggressori possono accedere a più laboratori di intelligenza artificiale contemporaneamente. Ciò sottolinea la necessità di solide misure di sicurezza lungo l’intera catena di fornitura dell’IA.
Mercor, come molti dei suoi concorrenti (Surge, Handshake, ecc.), opera con estrema segretezza. Questa mancanza di trasparenza rende difficile valutare le vulnerabilità e aumenta il rischio di future violazioni.
L’incidente serve a ricordare chiaramente che anche i modelli di intelligenza artificiale più preziosi sono sicuri tanto quanto l’anello più debole nella loro pipeline di dati. L’industria deve dare priorità alla sicurezza della catena di fornitura per proteggere la sua proprietà intellettuale fondamentale.
