Un autre client de la startup en difficulté Delve, touchée par une importante violation de sécurité

Le startup de conformité Delle continue de faire face à une série de controverses croissantes.

TechCrunch a vérifié que Delle a réalisé les certifications de sécurité pour Context AI, une entreprise de formation d’agents IA qui a récemment signalé un incident de sécurité entraînant une violation de données sur la plateforme d’hébergement d’applications et de sites web renommée Vercel.

Parallèlement, Lovable, qui a connu son propre incident de sécurité, n’utilise plus les services de Delle.

Pour rappel : le mois dernier, Delle a fait l’objet d’examen intensif après qu’un lanceur d’alerte anonyme ait affirmé que la startup fabriquait des données clients et utilisait des auditeurs en chambre d’écho pour ses certifications de conformité. Delle a nié ces allégations.

Peu après, des pirates ont ciblé l’un des clients de certification de sécurité de Delle, LiteLLM, et ont injecté un logiciel malveillant dans son code open source. Suite à cette violation, LiteLLM a informé TechCrunch qu’elle mettait fin à sa relation avec Delle et cherchait à se faire recertifier.

Delles a également fait face à des accusations d’appropriation d’un outil open source et de présentation de celui-ci comme un travail propriétaire sans attribution de licence appropriée. La réputation de la startup s’est détériorée, conduisant Y Combinator, où Delle a été diplômée, à rompre les liens.

Rapidement, le week-end dernier, Vercel a annoncé que des pirates avaient pénétré ses systèmes internes et accédé à certaines données clients. L’entreprise a déclaré que la violation s’est produite après qu’un employé ait téléchargé une application développée par Context AI et l’ait connectée au compte d’entreprise de Vercel hébergé sur Google. Les attaquants ont exploité l’accès de cet employé à son compte Google pour infiltrer certaines parties de l’infrastructure interne de Vercel.

Une fois Context AI identifié dans le cadre de l’attaque contre Vercel, Gergely Orosz, auteur de la newsletter technique The Pragmatic Engineer, a publié sur X que Delle avait géré la certification de sécurité de Context AI.

Context AI a désormais confirmé à TechCrunch qu’elle avait précédemment utilisé Delle, mais a depuis mis fin au partenariat et est actuellement en cours de recertification.

« Oui, Context était précédemment un client de Delle », a déclaré un porte-parole de Context AI à TechCrunch. « Suite aux informations publiées en mars concernant Delle, nous avons transféré notre programme de conformité à Vanta et engagé Insight Assurance, un cabinet d’audit indépendant, pour réaliser de nouveaux examens. Dans le cadre de cet examen, nous avons commencé à mettre à jour nos documents publics, et nous partagerons la nouvelle attestation une fois celle-ci terminée », a ajouté le porte-parole.

Les certifications de sécurité seules ne préviennent pas les incidents de sécurité. Leur objectif est de vérifier qu’une entreprise a mis en place des politiques et des processus pour atténuer les attaques et réduire le risque de compromission des données clients.

Par exemple : Lovable était un client de Delle, mais après la divulgation des allégations du lanceur d’alerte, la plateforme de codage par ambiance a déclaré avoir mis fin à sa relation avec Delle à la fin de l’année 2025. L’entreprise a déjà réalisé une certification de sécurité et est en train de refaire les autres.

Néanmoins, Lovable a admis lundi avoir rendu publiquement accessibles par inadvertance des données de chat clients. L’entreprise a également reconnu avoir rejeté des rapports de vulnérabilité qui l’avaient alertée sur le problème plusieurs mois plus tôt. Lovable s’est excusée pour avoir initialement nié une violation de données, bien qu’elle ait précisé que le problème provenait d’une erreur de configuration plutôt que d’une attaque informatique.

D’autres développements étranges entourent Delle. Le lanceur d’alerte anonyme, connu sous le nom de DeepDelver, a publié un autre post alléguant que Delle refusait les remboursements aux clients tout en emmenant simultanément son équipe de plus de 20 employés lors d’une réunion hors site à Hawaï entre le 15 avril et le 19 avril.

Le lanceur d’alerte a fourni des preuves convaincantes à TechCrunch soutenant le voyage supposé à Hawaï, mais TechCrunch n’a pas pu vérifier les autres allégations.

Delles n’a pas répondu aux demandes de commentaire et de confirmation, et un email envoyé à son adresse de relations médias a été rejeté.