苦境に立たされたコンプライアンス系スタートアップのDelveの物語は、ひねりと転換が続きます。
TechCrunchは、DelveがContext AIのセキュリティ認証を実施したコンプライアンス企業だったことを確認しました。Context AIはAIエージェントの訓練を行うスタートアップで、先週、セキュリティインシデントを開示していました。これが人気のアプリ/Webサイトホスティング大手Vercelでのデータ侵害につながったのです。
一方で、自身もセキュリティインシデントがあったLovableは、もはやDelveの顧客ではありません。
まとめると、先月Delveは非難を浴びました。匿名の内部告発者が、スタートアップが顧客データを偽装していたこと、そしてコンプライアンスと認証のプロセスで根回し済みの監査人（お墨付きを出すだけの監査人）を使っていたことが疑われたためです。Delveはこれらの主張を否定しています。
そのすぐ後、ハッカーがDelveのセキュリティ認証の顧客の1社であるLiteLLMを攻撃し、オープンソースのコードにマルウェアを仕込みました。インシデント後、LiteLLMはTechCrunchに対しDelveを切り捨て、再認証を受けるつもりだと伝えました。
Delveはまた、オープンソースのツールを持ち込み、適切なライセンスの帰属表示なしに自分たちの仕事のように見せかけたとして告発されました。スタートアップの評判は不安定になり、Delveが卒業したY Combinatorが関係を断つに至りました。
話は先週末へと進みます。Vercelは、ハッカーが同社の社内システムに侵入して一部の顧客データにアクセスしたと発表しました。Vercelによれば、ハッカーは、Context AIが作ったアプリを従業員がダウンロードし、そのアプリをGoogleでホストされているVercelの企業アカウントに接続したことをきっかけに侵入されたとのことです。ハッカーは、その従業員のGoogleアカウントへのアクセス権を悪用して、Vercelの社内システムの一部に侵入しました。
Context AIがVercelへの攻撃の件で名指しされた後、工学系ニュースレター『The Pragmatic Engineer』の著者Gergely Oroszは、Xへの投稿の中で、DelveがContext AIのセキュリティ認証を扱った企業だと述べました。
Context AIは現在、TechCrunchに対してDelveを使用したことを認めていますが、その後そのスタートアップとは手を切っており、再認証を受ける手続き中だとしています。
「はい、Contextは以前Delveの顧客でした」と、Context AIのスポークスパーソンはTechCrunchに伝えました。「3月にDelveをめぐる報道が出た後、当社はコンプライアンス・プログラムをVantaに移行し、新たな検証を行うために独立した監査法人であるInsight Assuranceと契約しました。再検証の一環として、当社は公開資料の更新を開始しており、完了次第、新たな認証（アテステーション）を共有します」とスポークスパーソンは付け加えました。
セキュリティ認証それ自体は、セキュリティ問題を止めるものではありません。認証は、企業に攻撃を妨げ顧客データが侵害される可能性を下げるための方針とプロセスが用意されていることを確認することを目的としています。
その好例がLovableです。LovableはDelveの顧客でしたが、内部告発者の主張が明らかになった後、コード作成（バイブコーディング）プラットフォームは、2025年後半にその時点でDelveを切ったと述べました。同社によれば、同社はすでに1つのセキュリティ認証を再取得し、他の認証についても作り直しの手続き中だということです。
それでもなお、Lovableは月曜日に、顧客のチャットデータへのアクセス権を誤って公開してしまっていたことを認めました。同社はまた、問題を何か月も前に同社に知らせていた脆弱性レポートを却下していたとも述べています。Lovableは最初、データ侵害はなかったと否定していたことについて謝罪したものの、ハッキングではなく構成ミスが原因だと説明しています。
Delveをめぐる、さらに奇妙なニュースも渦巻いています。匿名の内部告発者であるDeepDelverは、別の投稿を公開し、Delveが顧客に対する返金を拒否していたと主張する一方で、4月15日から4月19日の間にハワイで20人超のチームをオフサイト会議に連れて行っていたということを述べています。
内部告発者は、ハワイへの渡航疑惑に説得力を与える証拠の一部をTechCrunchに共有しましたが、TechCrunchは他の主張を確認できませんでした。
Delveはコメントと確認のための依頼に応じず、同社のメディアリレーションズ向けのメールも跳ね返ってきました。
