Startup Mercor, avaliada em US$ 10 bilhões, enfrenta crise após vazamento de dados
Mercor sofre violação de dados e enfrenta consequências legais e comerciais
Há seis meses, a startup Mercor celebrava uma rodada de investimento Série C de US$ 350 milhões, que avaliou a empresa de treinamento de dados para IA em US$ 10 bilhões. No entanto, no fim de março de 2026, a companhia anunciou ter sido vítima de uma violação de dados que expôs informações sensíveis e desencadeou uma série de problemas.
Detalhes do ataque e dados comprometidos
Segundo relatos, um grupo hacker obteve cerca de 4 TB de dados da Mercor, incluindo perfis de candidatos, informações pessoais identificáveis, dados de empregadores, código-fonte e chaves de API. A empresa não confirmou oficialmente a autenticidade dos dados vazados, mas afirmou estar investigando o incidente e mantendo comunicação direta com clientes e colaboradores para resolver o problema.
A origem da violação foi um ataque via malware de coleta de credenciais presente por 40 minutos em uma ferramenta open source muito popular chamada LiteLLM, baixada milhões de vezes diariamente. O software malicioso permitiu o acesso a diversas contas e sistemas, facilitando a escalada do ataque.
Impacto na reputação e contratos da Mercor
O incidente provocou repercussões imediatas no mercado. A Meta, por exemplo, suspendeu indefinidamente seus contratos com a Mercor, segundo fontes citadas pela Wired. Esta decisão é significativa, pois a Mercor lida com dados confidenciais cruciais para o treinamento de modelos de IA, incluindo segredos comerciais de grandes fabricantes de modelos.
Curiosamente, mesmo após a Meta investir US$ 14,3 bilhões na concorrente Scale AI, a empresa mantinha relações comerciais com a Mercor até o vazamento. A OpenAI confirmou estar investigando sua exposição ao incidente, mas não interrompeu contratos até o momento.
Fontes indicam que outros grandes desenvolvedores de modelos de IA avaliam suas parcerias com a Mercor, embora detalhes específicos não tenham sido divulgados.
Ações judiciais e questionamentos sobre segurança
Além dos danos comerciais, cinco contratados da Mercor entraram com processos judiciais alegando exposição de seus dados pessoais. Um dos processos inclui como réus a LiteLLM e a startup Delve, que fornece certificações de segurança para ferramentas de IA. Delve enfrenta acusações de falsificação de dados para certificações e uso de auditores superficiais, o que levou a Y Combinator a romper vínculos com a empresa.
Apesar disso, a Mercor confirmou que não era cliente da Delve. A LiteLLM, por sua vez, abandonou a Delve e busca novas certificações com outra startup de compliance em IA, além de ter publicado um relatório completo sobre o incidente de segurança, disponível em docs.litellm.ai.
Perspectivas e riscos financeiros
Antes do vazamento, a Mercor estava projetada para ultrapassar US$ 1 bilhão em receita anualizada. Caso a crise se estenda, a empresa poderá enfrentar perdas financeiras significativas e impacto duradouro em sua posição no mercado de treinamento de dados para IA.