一次供应链攻击之后，数据采购多了一条硬条件：供应商的安全

2026 年 3 月 31 日，Mercor 确认系统受到一次安全事件影响，同时受影响的还有全球数千家组织。四天后，Meta 无限期暂停了与它的全部合作（Wired）。2025 年 10 月刚完成的 C 轮，估值 100 亿美元，客户名单里有 OpenAI 和 Anthropic。

大模型公司没有集体撤离，数商生意也没有降温。变的是采购清单上一项的权重：数据安全从合同末尾的合规附件，挪到了准入环节。多家供应商并行早就是常态，往后并行的每一家都得先过安全这一关。

01事件路径与后果

LiteLLM 是一个开源的 AI 接口库，每天被下载数百万次（Snyk）。攻击组织 TeamPCP 让它的两个版本带上了恶意代码，其中带凭证窃取程序的那个版本在线约 40 分钟（TechCrunch）。凭证到手之后，攻击者用它们进入更多账号、再取更多凭证，一路传递下去。Mercor 的说法是，自己是数千家受影响公司之一。

入口不在 Mercor 自己写的代码里，在它依赖的一个开源库上。数商的生产网络由大量兼职专家构成，每个专家的账号、每个工具、每个依赖库都是一个入口。攻击面跟着人头数和依赖数走，跟公司规模没关系。

后果很具体。Meta 无限期暂停合作，其他大实验室重新评估。OpenAI 在核查自己的专有训练数据有没有暴露，现有项目没停。5 名承包商因个人信息暴露提起诉讼（Business Insider）。6 月 25 日，Mercor 公布调查总结，称受影响的是范围有限的专家敏感信息和客户资料，所有前沿模型公司客户在过去几个月都增加了合作规模。

两件事同时成立：最大的客户之一走了，整体合作规模还在涨。

02数商手里握着什么

数商为实验室生成定制的专有数据集，这些数据高度保密，因为它会向竞争对手暴露训练模型的关键做法，竞争对手包括美国和中国的其他实验室（Wired）。

我把数商手里的东西拆成三层。第一层是任务本身，题目和环境。第二层是评分标准，它决定模型被往哪个方向推。第三层是项目的需求描述，客户想补哪一块能力。

第三层最敏感。它严格说不算数据，而是一份「这家实验室认为自己哪里弱」的清单。Meta 有一个代号 Chordus 的项目，内容是教模型用多个网络来源核对自己的回答——光这一句描述就把训练目标说完了。数商内部用代号称呼项目，CEO 很少公开谈具体业务，双方都清楚这些信息值多少钱。

采购方的实操结论很直接：需求描述按最高密级处理，只发给必须知道的人；评分标准不跟任务数据打包交付。多数采购流程把保密条款塞进合同通用部分，一页纸带过。真正该写细的，是这三层各自的访问范围。

我给这个判断留个证伪口：如果今后公开的数商泄露事件里，被暴露的主要是候选人资料而不是评分标准和项目描述，第三层最敏感的说法就站不住。

03多家并行早已是常态，变的是尽调

所有 AI 开发者都在同时使用多家数据供应商，Scale 事件之后，他们转移预算的速度很快（The Verge，2025 年 12 月）。

那次事件是 2025 年 6 月，Meta 买入 Scale AI 49% 的股份。竞争对手实验室担心 Scale 不再中立，纷纷离开。Handshake 的 CEO 对 The Verge 说，需求一夜之间翻了三倍。

离开不等于断绝。Scale 的临时 CEO 在当年 9 月说，公司仍在和 Google、Microsoft、OpenAI、xAI 合作。

两次事件放一起看，第一次问的是供应商归谁、中立不中立，这一次问的是防护够不够。客户的反应是同一种：分散，缩小暴露面，不整体退出。

Meta 买下 Scale 之后依然在和 Mercor 合作（TechCrunch）。它本来就是并行采购，暂停 Mercor 的成本比只押一家的客户低得多。

暂停供应商这种动作，拍板的是安全和法务，算法团队只能接受。算法团队的交付节奏不会因此停摆，所以替代供应商必须在事发之前就进了名单，而且已经跑通过小批量任务。事后再找，来不及。

换供应商的理由清单也变了。以前是质量、价格、中立性，现在多一项：安全事件之后，你敢不敢继续把评分标准交给它。

合同会跟着变。依赖库审计、凭证管理、数据隔离、承包商资料保护写进附件，再加事件通报时限、客户的审计权，以及暂停期间已完成工作的结算方式。结算最容易扯皮——数商说任务已交付，客户说暂停期间的数据不再验收。

证伪口同样留着：如果 2027 年一季度前，头部实验室与数商的合同里仍然没有事件通报时限和审计条款，这个判断就错了。

04收入口径

Mercor 的 CEO Brendan Foody 在 X 上说，公司 6 月的年化收入超过 20 亿美元，比四个月前翻了一倍。这是月收入乘以 12 的总额口径，没扣付给专家的部分。

The Information 看到的融资文件给出另一组数：2026 年上半年总营收 6.14 亿美元，比 2025 全年高 70%，其中约 91% 来自基础模型公司，营收的约三分之二付给了承包商，二季度毛利率 33%。

按三分之二付承包商折算，20 亿美元的年化总额对应的净额约 6.7 亿美元。

Micro1 的口径更直白：年化总额八个月里涨到 5 亿美元，六到七成付给专家，净年化在 1.5 亿到 2 亿美元之间（TechCrunch）。同样叫年化，总额和净额差三倍上下，两家公司放在一起比之前，先把口径对齐。

事件发生在 3 月，到 6 月年化总额仍翻了一倍，大部分客户没有离开。但 91% 的集中度摆在那里。

Appen 八成收入来自五家客户，市值从 2020 年的 43 亿美元以上跌到现在的 1.3 亿美元以下（The Verge）。Mercor 对投资人展示的预测是，2030 年基础模型客户的占比降到三分之一以下。我对这个预测持保留态度，并且有明确的检验点：如果 2027 年 Mercor 披露的基础模型客户占比仍高于 80%，预测就不成立，集中度风险也没有解除。

数商的商业逻辑和客户的安全需求还有一处对不上。Micro1 把同一批现成数据卖给多家客户，这部分毛利率可以到 80% 到 90%（TechCrunch）。国内大厂目前都有一定的排他策略，比如设定数据集的独家期限，或者阶段性买断供应商的核心人员（智能涌现）。一边靠重复销售提毛利，一边被要求独家，这两件事会在合同条款里撞上。

独家期限从交付日起算还是从验收通过日起算，差的是几周的转售窗口，双方都会争。我的建议是数商主动让出独家，换更长的合作期和预付款，别在转售上硬扛。

05哪些环节会留在内部

这套逻辑的终点是自建。Mercor 自己的融资材料也承认，在核心模型能力和数据安全上，客户有充分理由把数据生产留在内部，外部采购的优势是速度、弹性和专家供给。

字节跳动从 2026 年 6 月初开始，把 Global Data、集团数据中台 DMC、Flow 下属的 AI 数据平台 AIDP 等团队整合，成立了与 Seed、Flow 平行的一级部门「AI 数据与安全」，职能覆盖标准制定、寻源采购、合成清洗和质量评测（智能涌现）。部门名字里就带着「安全」，采购和安全进了同一个组织：谁买数据，谁对数据安全负责。

我的判断分三层。通用的、可并行的专家任务，继续对外采购，供应商分散到三五家。评分标准和环境由客户内部定义，执行交给外部，任何一家供应商都看不到完整配方。核心配方和内部评测集，留在客户自己手里。

中间这层最容易被忽略。把标准留在内部的成本很低，却能把单个供应商出事时的损失压到最小。如果明年头部实验室仍然把评分标准整包交给单一供应商，这个判断就错了。

给同行的建议只有一条：数商要把安全做成能摆到客户面前的材料，依赖库的审计记录、凭证的轮换制度、专家端和客户项目之间的数据隔离。Mercor 事件之前，这些是销售 deck 里的一页。之后，它们决定你能不能进采购名单。

一个开源库 40 分钟的问题，让年化总额 20 亿美元的数商被一家大客户无限期暂停，另一家大客户一边核查一边继续合作，行业收入没有掉头。安全成了准入条件，生意还在。

06常见问题

客户尽调时，安全这一项具体会查到什么颗粒度？

从 Mercor 这次的路径倒推，重点在依赖链和凭证。能拿出依赖库的审计记录、凭证轮换周期、专家端账号与客户项目之间的隔离方案，比写十页保密承诺管用。合同层面会追加事件通报时限、客户审计权，以及暂停期间已完成工作的结算口径——最后这一条在谈判里最耗时间。

数商说的「年化收入 20 亿美元」，该怎么折算？

先问是总额还是净额。Mercor 的 20 亿美元是月收入乘 12 的总额口径，按融资文件里约三分之二付给承包商折算，净额约 6.7 亿美元，二季度毛利率 33%。Micro1 的 5 亿美元年化总额对应净年化 1.5 亿到 2 亿美元。同一个词差三倍，跨公司比较前必须对齐。

客户要独家、数商要重复销售，这个冲突怎么谈？

Micro1 把现成数据卖给多家客户时毛利能到 80% 到 90%，国内大厂则用独家期限、阶段性买断核心人员来锁定。争议点通常落在独家期从交付日还是验收通过日起算，中间差着几周的转售窗口。我的做法是把独家让出去，换更长的合作期和预付款，现金流和续约比那几周的转售收入值钱。