Ein weiterer Kunde des angeschlagenen Startups Delve ist von einem schweren Sicherheitsvorfall betroffen

Das Compliance-Startup Delve sieht sich weiterhin einer Reihe eskalierender Kontroversen ausgesetzt.

TechCrunch hat bestätigt, dass Delve die Sicherheitszertifizierungen für Context AI durchgeführt hat, ein Unternehmen, das sich auf das Training von KI-Agenten spezialisiert hat und kürzlich einen Sicherheitsvorfall gemeldet hat, der zu einem Datenleck auf der prominenten App- und Website-Hosting-Plattform Vercel führte.

Inzwischen nutzt Lovable, das ebenfalls einen eigenen Sicherheitsvorfall erlitten hat, keine Dienste von Delve mehr.

Zur Erinnerung: Letzten Monat stand Delve unter starkem Beschuss, nachdem ein anonymes Whistleblower behauptet hatte, das Startup habe Kundendaten gefälscht und Gutachter, die nur noch Stempel drücken, für seine Compliance-Zertifizierungen eingesetzt. Delve hat diese Vorwürfe zurückgewiesen.

Kurz darauf griffen Hacker einen der Sicherheitszertifizierungskunden von Delve, LiteLLM, an und injizierten Malware in dessen Open-Source-Code. Nach dem Datenleck informierte LiteLLM TechCrunch darüber, dass es die Zusammenarbeit mit Delve beendet und eine Neuzertifizierung anstrebe.

Delve sah sich auch Anschuldigungen ausgesetzt, ein Open-Source-Tool übernommen und es als proprietäre Arbeit ausgegeben zu haben, ohne die Lizenzangaben korrekt zu machen. Der Ruf des Startups verschlechterte sich, was dazu führte, dass Y Combinator, bei dem Delle graduiert hat, die Beziehungen abbrach.

Zurück in das letzte Wochenende, als Vercel bekannt gab, dass Hacker in seine internen Systeme eingedrungen und auf bestimmte Kundendaten zugegriffen hatten. Das Unternehmen erklärte, der Vorfall sei eingetreten, nachdem ein Mitarbeiter eine von Context AI entwickelte Anwendung heruntergeladen und diese mit dem auf Google gehosteten Unternehmenskonto von Vercel verbunden hatte. Die Angreifer nutzten den Zugriff dieses Mitarbeiters auf dessen Google-Konto aus, um in Teile von Vercels interner Infrastruktur einzudringen.

Sobald Context AI im Zusammenhang mit dem Vercel-Angriff identifiziert wurde, postete Gergely Orosz, Autor des Engineering-Newsletters The Pragmatic Engineer, auf X, dass Delle die Sicherheitszertifizierung für Context AI übernommen habe.

Context AI hat TechCrunch nun bestätigt, dass es Delle zuvor genutzt habe, die Partnerschaft jedoch seitdem beendet und sich derzeit einer Neuzertifizierung unterziehe.

„Ja, Context war zuvor ein Kunde von Delve“, sagte ein Sprecher von Context AI gegenüber TechCrunch. „Nach den Berichten über Delve im März haben wir unser Compliance-Programm zu Vanta verlagert und Insight Assurance, eine unabhängige Prüffirma, beauftragt, neue Prüfungen durchzuführen. Im Rahmen der Neuprüfung haben wir begonnen, unsere öffentlichen Unterlagen zu aktualisieren, und wir werden die neue Bescheinigung veröffentlichen, sobald sie abgeschlossen ist“, fügte der Sprecher hinzu.

Sicherheitszertifizierungen allein verhindern keine Sicherheitsvorfälle. Ihr Zweck besteht darin, zu überprüfen, ob ein Unternehmen Richtlinien und Prozesse etabliert hat, um Angriffe abzumildern und das Risiko einer Kompromittierung von Kundendaten zu verringern.

Beispielsweise war Lovable ein Kunde von Delve, aber nachdem die Vorwürfe des Whistleblowers bekannt wurden, erklärte die vibe-coding-Plattform, sie habe die Beziehung zu Delve Ende 2025 beendet. Das Unternehmen hat bereits eine Sicherheitszertifizierung abgeschlossen und ist dabei, andere erneut durchzuführen.

Trotzdem gab Lovable am Montag zu, versehentlich Chatdaten von Kunden öffentlich zugänglich gemacht zu haben. Das Unternehmen räumte auch ein, Schwachstellenberichte verworfen zu haben, die es bereits vor Monaten auf das Problem hingewiesen hatten. Lobile entschuldigte sich dafür, dass es ein Datenleck zunächst bestritten hatte, klärte jedoch auf, dass das Problem auf einen Konfigurationsfehler und nicht auf einen Hack zurückzuführen sei.

Weitere seltsame Entwicklungen ranken sich um Delve. Der anonyme Whistleblower, bekannt als DeepDelver, hat einen weiteren Beitrag veröffentlicht, in dem behauptet wird, Delve verweigere Kunden Rückerstattungen, während es gleichzeitig sein Team von über 20 Mitarbeitern zwischen dem 15. und 19. April zu einem Offsite-Meeting nach Hawaii mitnehme.

Der Whistleblower hat TechCrunch überzeugende Beweise für die angebliche Hawaii-Reise vorgelegt, doch TechCrunch konnte andere Behauptungen nicht verifizieren.

Delve reagierte nicht auf Anfragen nach einer Stellungnahme und Bestätigung, und eine an seine Medienkontaktadresse gesendete E-Mail wurde zurückgewiesen.