AI 训练数据供应链的第一次大规模攻击：Mercor 泄露与我们低估的风险

AI 训练数据需要人工标注。这件事创造了一个新的劳动经济，也创造了一个几乎没人认真考虑过安全性的数据收集管道。

2026 年 3 月 27 日到 4 月 4 日之间，这个管道出了事。

攻击链

故事从一个开源工具开始。LiteLLM 是一个被数百万开发者每天使用的 LLM 代理路由库。3 月 27 日，攻击者在两个版本中植入了凭证窃取恶意软件，窗口期约 40 分钟。在这 40 分钟里，所有拉取受污染版本的系统，SSH 密钥、cloud tokens、.env 文件里的一切都被读走了。

Mercor 是被打中的目标之一。

Mercor 是什么？一家估值 100 亿美元的 AI 数据标注和 AI 招聘平台，承接来自 OpenAI、Anthropic、Meta、Google DeepMind 的承包商业务。他们的承包商入职流程包括：护照或驾照扫描、摄像头自拍、以及在安静房间里录制语音样本，念脚本段落。

Lapsus$ 在 4 月 4 日把这些发上了他们的泄露站点：

• 939 GB 平台源代码
• 211 GB 用户数据库
• 3 TB 视频面试和身份证件
• SSN
• Tailscale VPN 配置
• Slack 聊天记录

40,000 名承包商的声纹，配合身份证件，全部打包在一起。

为什么这次泄露不同寻常

过去十年大多数语音泄露是两种情况：要么是呼叫中心被打，录音被偷走但无法映射到具体身份；要么是身份证件泄露，但没有音频。

Mercor 把这两列合并了。入职流程要求：身份证扫描 + 摄像头自拍 + 安静环境下的语音录制。这是声纹克隆服务所需要的全部输入，放在一行数据库记录里。

根据《华尔街日报》2026 年 2 月的报道，主流的离架声纹克隆工具现在只需要 15 秒干净参考音频就能克隆。Mercor 的录音平均长度是 2 到 5 分钟。

“Pair it with a verified ID document and the attacker has both the clone and the credential needed to put the clone to work.” — ORAVYS, 4TB of voice samples stolen from 40k AI contractors at Mercor

这不是理论风险。已记录的攻击模式包括：银行声纹认证绕过、vishing 攻击员工公司、以 Arup 案例为模板的深度伪造视频通话（2024 年 2500 万美元）、保险欺诈（Pindrop 报告 2025 年同比增长 475%）。

对 AI 生态的更大影响

泄露的不只是承包商数据。攻击者还访问到了 AI 训练方法和模型内部细节。Wired 报道称 Meta 已无限期暂停与 Mercor 的合作，因为数据泄露危及了 AI 行业机密——包括训练方法论。

另据报道，Anthropic 一个名为 Mythos 的未发布模型（零日漏洞挖掘专用）的访问凭证也被泄露，黑客通过命名泄露猜测 URL 就进去了。

这件事的供应链层次有三层：

1. LiteLLM 被投毒（开源工具层）
2. Mercor 被横向攻击（数据平台层）
3. OpenAI、Anthropic、Meta 的训练数据和模型细节可能被访问（前沿实验室层）

法律后果也在快速累积：截止 4 月 23 日，至少 7 起集体诉讼在加州和德克萨斯联邦法院立案。

无法撤销的凭证

密码泄露后可以重设。声纹泄露后只能……换声带？

这是这次事件真正让人不寒而栗的地方，也是 HN 上工程师们讨论最激烈的话题之一：

“Now 40k people have learned that biometrics aren’t passwords. You can’t rotate your voice.” — HN 评论，ID 47923926

AI 训练数据经济依赖大规模的人工数据收集，这催生了大量平台用各种形式换取人们的生物特征数据——通常以”标注工作”的名义，在条款细则里写明同意。这件事暴露的问题不只是 Mercor 一家的安全能力，而是整个数据供应链的结构性风险从来没有被认真对待过。

现在它被认真对待了，只不过是用一次 4TB 的方式。

---

从工程角度能做的事有限，但不是什么都做不了：使用 LiteLLM 的项目应立即检查 CVE-2026-30623 补丁状态；AI 招募平台需要重新审视生物特征数据的收集必要性和隔离方式；依赖声纹认证的金融系统应考虑降低其作为主要认证因子的权重。

这不是最后一次这样的攻击，只是第一次被这么广泛报道的。