Meta hat sämtliche laufenden Projekte mit dem KI-Daten-Contractor Mercor auf unbestimmte Zeit eingefroren, nachdem ein Sicherheitsvorfall am 24. März 2026 zu einem Datenleck bei Mercor führte. Angreifer injizierten bösartigen Code in das Open-Source-Projekt LiteLLM, um Zugang zu internen Mercor-Systemen zu erhalten und sensible Daten wie API-Keys und weitere Zugangsdaten zu entwenden. Mercor bestätigte den Vorfall am 31. März 2026 und arbeitet mit externen Experten zusammen. Die Hackergruppe Lapsus$ beanspruchte den Angriff und veröffentlichte gestohlene Datenproben, jedoch sind Behauptungen über 4 TB gestohlener Mercor-Daten, die sensible Projektinformationen zu Kunden wie Meta, Apple und Amazon enthalten sollen, bisher nicht verifiziert.
- Meta hat die Zusammenarbeit mit dem KI-Daten-Dienstleister Mercor nach einem schwerwiegenden Sicherheitsvorfall auf unbestimmte Zeit eingefroren.
- Angreifer nutzten manipulierten Code im Open-Source-Projekt LiteLLM, um in Mercor-Systeme einzudringen und sensible Zugangsdaten zu stehlen.
- Der Projektstopp führt zu massiven Einnahmeausfällen bei hunderten freiberuflichen Entwicklern, die nun keine Arbeit für Meta aufweisen können.
Mercor, ein 2023 gegründetes und 2025 mit 10 Milliarden USD bewertetes Startup, verbindet große KI-Labs wie OpenAI und Anthropic mit menschlichen Annotatoren für RLHF-Prozesse. Diese Trainingsdaten sind entscheidend für moderne Foundation Models und werden von den Labs streng geheim gehalten, da sie Rückschlüsse auf Trainingsstrategien ermöglichen. OpenAI untersucht den Vorfall, hat aber seine Projekte nicht gestoppt, während Anthropic sich noch nicht geäußert hat. Der Vorfall unterstreicht das erhöhte Risikoprofil der gesamten KI-Lieferkette durch die Auslagerung sensibler Prozesse an Drittfirmen, selbst wenn diese SOC-2-zertifiziert sind, da Abhängigkeiten von Open-Source-Projekten wie LiteLLM weiterhin Angriffsflächen bieten.
Der Stopp der Meta-Projekte hat erhebliche wirtschaftliche Auswirkungen, da Mercor täglich über 2 Millionen USD an externe Auftragnehmer auszahlt. Die betroffenen Contractor, die an Meta-Projekten arbeiteten, können derzeit keine Stunden abrechnen und sind ohne Arbeit. Mercor sucht intern nach Ersatzprojekten, doch die Wiederaufnahme der Zusammenarbeit mit Meta ist ungewiss.
