Mercor, 오픈소스 LiteLLM 프로젝트 침해에 따른 사이버 공격 당해

(techcrunch.com)

TechCrunch2026년 4월 1일AI 산업

Mercor, 오픈소스 LiteLLM 프로젝트 침해에 따른 사이버 공격 당해

AI 스타트업 Mercor가 오픈소스 LiteLLM 프로젝트 침해를 통한 공급망 공격으로 데이터 유출 피해를 입으면서, 오픈소스 라이브러리의 취약성이 AI 산업 생태계 전반에 초래할 수 있는 심각한 보안 위협을 시사했습니다.

이 글의 핵심 포인트

1AI 채용 스타트업 Mercor는 오픈소스 LiteLLM 침해로 인한 공급망 사이버 공격을 확인했습니다.
2Mercor는 OpenAI, Anthropic 등과 협력하며, 2025년 10월 $350M 시리즈 C 라운드 후 $100억 가치를 인정받은 유망 스타트업입니다.
3Lapsus$ 해킹 그룹은 Mercor의 데이터에 접근했다고 주장하며 슬랙, 티켓팅 데이터 및 AI-컨트랙터 대화 영상 샘플을 공개했습니다.
4LiteLLM은 하루 수백만 번 다운로드되는 광범위한 오픈소스 라이브러리로, 침해 후 규정 준수 프로세스를 Delve에서 Vanta로 전환했습니다.
5Mercor는 신속하게 보안 사고에 대응하여 조사 중이며, 고객 및 계약자와의 소통을 지속하고 있다고 밝혔습니다.

이 글에 대한 공공지능 분석

왜 중요한가?

이번 Mercor의 보안 사고는 단순히 한 스타트업의 문제가 아니라, AI 시대를 살아가는 모든 기술 기업, 특히 오픈소스에 크게 의존하는 스타트업들에게 심각한 경고를 보냅니다. Mercor는 OpenAI 및 Anthropic과 협력하고 일일 200만 달러 이상의 지급을 처리하며 100억 달러의 기업 가치를 인정받은 유망한 AI 스타트업입니다. 이러한 기업조차 공급망 공격에 취약하다는 사실은 AI 모델 학습 및 개발의 핵심 인프라가 될 수 있는 오픈소스 생태계 전반의 보안 강화가 시급함을 보여줍니다. 데이터 유출 가능성은 고객 신뢰도 하락, 규제 문제, 사업 연속성 위협 등 복합적인 위험을 초래하며, 이는 기업의 생존과 직결될 수 있습니다.

어떤 배경과 맥락이 있나?

이번 사건의 핵심에는 '공급망 공격'과 '오픈소스 의존성'이라는 두 가지 중요한 배경이 있습니다. Mercor는 직접적인 해킹보다는 광범위하게 사용되는 오픈소스 라이브러리인 LiteLLM의 침해를 통해 영향을 받았습니다. LiteLLM은 하루 수백만 번 다운로드될 정도로 널리 쓰이며, 작은 취약점 하나가 수많은 기업에 연쇄적인 영향을 미칠 수 있음을 보여줍니다. 여기에 Lapsus$와 같은 악명 높은 해킹 그룹의 개입은 공격의 심각성을 더하며, AI 학습 데이터와 같은 민감한 정보의 유출 가능성을 높입니다. AI 모델 학습에 사용되는 전문가 데이터는 매우 가치 있으므로, 이를 노린 공격은 앞으로 더욱 빈번해질 수 있습니다.

업계에 어떤 영향을 주나?

이 사건은 AI 산업 전반에 걸쳐 보안 프로토콜 및 오픈소스 관리의 재평가를 요구할 것입니다. 첫째, 오픈소스 라이브러리 사용에 대한 실사 및 모니터링이 강화될 것입니다. LiteLLM이 빠르게 규정 준수 프로세스를 Delve에서 Vanta로 전환한 것은 이러한 변화의 한 예입니다. 둘째, AI 모델 학습 과정에서 발생하는 데이터의 보안과 프라이버시에 대한 우려가 커지면서 관련 기술 및 솔루션 시장이 성장할 수 있습니다. 셋째, 스타트업들은 보안 투자를 사업 초기에 우선순위에 두어야 한다는 교훈을 얻을 것입니다. 초기 성장 단계에 있는 기업일수록 보안 인프라가 취약할 수 있기 때문입니다. 결과적으로 AI 생태계의 신뢰도와 지속 가능한 성장에 부정적인 영향을 미칠 수 있습니다.

한국 시장에 어떤 시사점이 있나?

한국 스타트업과 기업들에게도 Mercor 사건은 중요한 시사점을 제공합니다. 한국은 AI 기술 개발에 적극적이며 많은 스타트업이 오픈소스 기술을 활용하고 있습니다. 첫째, 한국 스타트업들은 자사 서비스에 사용하는 모든 오픈소스 라이브러리의 보안 취약점을 주기적으로 점검하고 관리하는 시스템을 구축해야 합니다. 둘째, 공급망 공격에 대비하여 서드파티 솔루션 및 파트너사와의 연동 과정에서 보안 검증을 강화해야 합니다. 셋째, 데이터 유출 발생 시의 비상 대응 계획(IRP)을 미리 수립하고 모의 훈련을 실시하여 피해를 최소화할 준비를 해야 합니다. 마지막으로, 정부와 업계 차원에서 오픈소스 보안 감사를 지원하고, 관련 보안 표준을 강화하는 노력이 필요합니다. 이는 'K-AI'의 신뢰도를 높이고 글로벌 경쟁력을 확보하는 데 필수적입니다.

이 글에 대한 큐레이터 의견

이번 Mercor 사건은 AI 스타트업 창업자들이 '성장'과 '보안' 사이에서 균형을 찾아야 하는 현실적인 압박을 생생하게 보여줍니다. 100억 달러 가치의 고성장 스타트업조차 오픈소스 공급망의 취약성 앞에서 속수무책일 수 있다는 점은 매우 우려스럽습니다. 특히 AI 모델 학습에 필수적인 고급 인력 데이터와 같은 민감 정보를 다루는 스타트업이라면, 단순히 기능 개발에만 집중할 것이 아니라 초기부터 강력한 보안 아키텍처와 프로토콜을 구축하는 데 비용과 인력을 아끼지 말아야 합니다.

이것은 위협이자 동시에 기회입니다. AI 보안 솔루션 시장은 폭발적으로 성장할 잠재력이 있습니다. 오픈소스 사용이 보편화되는 만큼, 오픈소스 라이브러리의 보안 감사, 실시간 취약점 모니터링, 공급망 보안 관리 플랫폼 등의 솔루션에 대한 수요는 기하급수적으로 늘어날 것입니다. 한국의 보안 스타트업들이 이러한 니즈를 포착하고 AI 특화 보안 솔루션을 개발한다면, 글로벌 시장에서 새로운 경쟁 우위를 확보할 수 있을 것입니다. 단순한 방화벽을 넘어 AI 환경의 특수성을 이해하고 예측 가능한 위협에 대응하는 지능형 보안 시스템이 필요합니다.

결론적으로, 모든 AI 스타트업은 '우리는 해킹당하지 않을 거야'라는 안일한 생각에서 벗어나야 합니다. '언젠가는 당할 수도 있다'는 전제하에 철저한 대비책을 마련하고, 인시던트 대응 계획을 주기적으로 점검하며, 법률 및 규제 준수팀과 긴밀히 협력해야 합니다. 고객과의 신뢰는 한번 무너지면 되돌리기 어렵습니다. 특히 데이터를 다루는 AI 스타트업에게 보안은 단순한 기술적 문제가 아닌, 사업의 핵심 경쟁력이자 생존의 문제입니다.

원문 보기 →