De gevolgen van een cyberaanval op de AI-keten
De recruitment startup Mercor, die onlangs nog op 10 miljard dollar werd gewaardeerd, heeft een aanzienlijk beveiligingsincident bevestigd. Het lek is direct te herleiden naar een zogeheten supply chain aanval op het open-source project LiteLLM. Deze softwarebibliotheek wordt wereldwijd miljoenen keren per dag gedownload en vormt voor veel ontwikkelaars de ruggengraat van hun toepassingen.
Volgens woordvoerder Heidi Hagberg is Mercor een van de duizenden bedrijven die mogelijk zijn getroffen door deze cyberaanval. Hoewel het bedrijf zegt direct maatregelen te hebben genomen, claimt het beruchte hackerscollectief Lapsus$ al toegang te hebben tot gevoelige informatie. De buit zou onder meer bestaan uit Slack-berichten, ticketing-data en video-opnames van gesprekken tussen de AI-systemen en ingehuurde experts.
De timing van dit incident is pijnlijk voor Mercor. Het bedrijf haalde in oktober 2025 nog 350 miljoen dollar op in een investeringsronde en werkt nauw samen met zwaargewichten als OpenAI en Anthropic. Door gespecialiseerde domeinexperts zoals artsen en advocaten in te zetten voor het trainen van modellen, verwerkt het platform dagelijks meer dan 2 miljoen dollar aan uitbetalingen.
Waarom deze cyberaanval een waarschuwing is
Het probleem bij LiteLLM ontstond door malicieuze code in een softwarepakket dat door veel bedrijven blind wordt vertrouwd. Hoewel de besmette code snel werd verwijderd, was het kwaad voor partijen als Mercor al geschied. Het incident benadrukt de enorme risico’s van het leunen op open-source componenten zonder strikte, doorlopende veiligheidscontroles.
Ondertussen is LiteLLM overgestapt naar een andere partij voor hun beveiligingscertificering om het vertrouwen in de markt te herstellen. Voor de zakelijke gebruiker blijft de vraag hoe diep de hackers werkelijk in de systemen zijn binnengedrongen. Deze cyberaanval laat zien dat de snelheid waarmee startups momenteel opschalen vaak gepaard gaat met onderschatte risico’s in de digitale infrastructuur.
Wat valt ons op?
De aanval legt de kwetsbaarheid van de moderne AI-keten bloot en bewijst dat zelfs miljardenbedrijven vallen door fouten in gratis software van derden.
Wat betekent dit voor jou?
Voor ondernemers is dit een harde les: je bent zo veilig als de zwakste schakel in je softwarepakket. Ook als je zelf geen complexe AI bouwt, gebruik je waarschijnlijk tools die afhankelijk zijn van deze kwetsbare bibliotheken.
- Inventariseer welke externe software en plugins toegang hebben tot je bedrijfsdata.
- Vraag je IT-leverancier specifiek naar de controle op open-source componenten.
- Beperk de hoeveelheid gevoelige informatie die je deelt in chatprogramma’s zoals Slack.
