Глава ИИ-стартапа TypeSafe заявил об утечке данных клиентов

Подробно

Что именно заявил гендиректор TypeSafe AI?

По пересказу Startup Fortune (материал Дэйва Барра вышел 24 октября 2026 года в 20:37, часовой пояс не указан), Диого Алмейда, сооснователь и генеральный директор TypeSafe AI, примерно в 18:49 того же дня написал в X о «массовой несанкционированной утечке ВСЕХ клиентских результатов (ответов) режима Noul». Он также сообщил, что ради прозрачности компания сама разместила ссылку на раскрытые данные.

«Несмотря на неудачное время, мы серьёзно относимся к раскрытию информации в TypeSafe».

Это слова Алмейды в изложении Startup Fortune. Первичный пост в X найти не удалось. Кроме того, издание называет 24 октября пятницей, хотя это суббота, поэтому точные дата и время исходного поста требуют проверки.

Какие данные модели Jev оказались раскрыты?

Jev - модель, которая вместо свободного текста выдаёт типизированные вероятностные решения для встраивания в программы. Она поддерживает три типа решений: Choice, Score и Noul. Noul возвращает вероятность истинности утверждения. В тексте Startup Fortune речь идёт именно о клиентских результатах (ответах) режима Noul, хотя заголовок издания говорит о результатах Jev вообще. Что затронуты Choice и Score, не подтверждено.

Неизвестно и то, были ли доступны входные данные, тексты вопросов, идентификаторы клиентов, метаданные или персональные данные либо только числовые результаты. Формулировка «доступны всем клиентам» тоже не установлена: материал описывает возможность доступа к чужим результатам, но не доказывает, что каждый клиент получил полный массив. Утверждение издания, что разработчик Уэс Бос подтвердил наличие своего результата в раскрытых данных, не сопровождается прямой ссылкой на его заявление.

Что вызвало утечку и при чём здесь IDOR?

Точная причина не названа. Startup Fortune прямо пишет, что TypeSafe не опубликовала технический постмортем и не указала уязвимость. Версия об IDOR принадлежит автору материала, который сопоставил описанные признаки с типичной уязвимостью этого класса. Компания её не подтверждала.

IDOR - это недостаточная проверка прав доступа к объекту, на который ссылается идентификатор. Из-за неё вошедший в систему пользователь может получить чужие данные, просто изменив идентификатор в запросе. Это общее определение класса уязвимостей, а не доказательство причины данного инцидента.

Должна ли компания уведомить клиентов?

Согласно соглашению об обработке данных (DPA) TypeSafe, компания обязана уведомлять клиента без неоправданной задержки и не позднее 72 часов после обнаружения случайного или несанкционированного доступа, раскрытия или использования его персональных данных. Она также должна расследовать инцидент, смягчать последствия и устранять причины. Требование относится к персональным данным, а были ли они среди раскрытого, неизвестно. Сведений об уведомлениях клиентов и регуляторов, о списке затронутых организаций и возможных юридических последствиях нет.

Что известно о TypeSafe AI и Jev?

TypeSafe вышла из скрытого режима 15 сентября 2026 года и открыла Jev в режиме early access как первый публичный System One Model. Тогда же компания привлекла seed-раунд на $40 млн во главе с DCVC. По данным SiliconANGLE со ссылкой на Forbes, оценка составляла $200 млн.

9 октября 2026 года компания объявила о раунде Series A на $870 млн при оценке $7,5 млрд. Эти цифры подтверждают юридическая фирма Wilson Sonsini, консультировавшая сделку, и TechCrunch. Раунд возглавила Andreessen Horowitz, участвовали Sequoia Capital, DCVC и неназванные бизнес-ангелы. Партнёр a16z Мартин Касадо вошёл в совет директоров. Публикация самого фонда подтверждает лидерство в инвестиции, но не называет сумму и оценку. Сообщение об утечке появилось через 15 дней после объявления раунда.

В документации на 25 октября перечислены версии Jev 1.14 (доступна с 14 октября) и Jev 1.13. Обе стоят $0,042 за 1 млн входных токенов, или $42 за 1 млрд, а выходные токены бесплатны. Компания утверждает, что запросы и ответы клиентов не используются для обучения Jev. Это заявление не говорит, хранятся ли ответы для других целей и как долго. Условия доступности Jev для пользователей из России и цена в рублях не найдены.

Кто прокомментировал инцидент?

Томми Раш, основатель Rush Commerce, считает, что результаты моделей, которые используются для оценки мошенничества, лидов или возвратов, следует классифицировать и защищать как клиентские данные. Его публикация опирается на Startup Fortune и не является независимой технической проверкой.

Что ещё не удалось установить?

О событии сообщает только одно издание, а зависимый пересказ не является независимой проверкой; сама утечка не подтверждена. Не найдены официальное сообщение TypeSafe, страница статуса, материалы Trust Center и отчёт об инциденте. Неизвестны начало и продолжительность экспозиции, способ обнаружения, исправлена ли проблема, сколько раз обращались к чужим данным и сколько организаций затронуто.