Laut Medienuntersuchung löste der Agent Grok Bot der SpaceX AI-Abteilung bereits vor seiner Veröffentlichung interne Bedenken zur Datensicherheit aus. Ende des 7. Monats 2026 warnten die für die Entwicklung des Produkts zuständigen Cursor-Ingenieure, dass Daten aus internen Tests und der täglichen Nutzung durch Mitarbeitende vertrauliche Informationen von Kunden, Lieferanten und Geschäftspartnern enthalten könnten und möglicherweise bereits an die SpaceX AI-Abteilung übertragen worden seien. Cursor leitete anschließend eine interne Untersuchung ein, doch die Untersuchungsergebnisse wurden bislang nicht veröffentlicht.
Grok Bot trug zunächst den Codenamen Sand und wurde von Cursor-Mitarbeitenden ab etwa dem 6. Monat dieses Jahres genutzt, unter anderem in den Bereichen Vertrieb, Personalrekrutierung und Recherche. Zur Optimierung des Produkts sammelte Cursor die Aktivitätsdaten von Mitarbeitenden, externen Einzelpersonen und Unternehmensnutzern, um das Modell darauf zu trainieren, wie der Agent Aufgaben ausführt. Da einige Mitarbeitende sich mit privaten E-Mail-Adressen angemeldet hatten, konnte das Unternehmen die betreffenden Daten nur schwer eindeutig zuordnen. Daraufhin forderte Cursor die Mitarbeitenden auf, künftig Firmen-E-Mail-Adressen zu verwenden, und beschloss, Nutzungsdaten der Mitarbeitenden nicht mehr in das künftige Modelltraining aufzunehmen. Cursor-Anwälte hatten in internen Kommunikationen darauf hingewiesen, dass die betreffenden Daten vertrauliche Informationen von Kunden und Partnern enthalten könnten und das Unternehmen möglicherweise nicht über die rechtliche Befugnis verfüge, diese für das Modelltraining zu verwenden.
Darüber hinaus ereignete sich bei Cursor im Sommer dieses Jahres auch ein Vorfall mit einem Leck von Kundeninformationen. Auf einer mit Vercel erstellten Vertriebs- und Marketing-Website des Unternehmens wurden Passwörter direkt in den zugrunde liegenden Code geschrieben, wodurch Teile der Kundeninformationen von Unternehmen wie Verizon, Bosch und Coupa dem Risiko einer Offenlegung ausgesetzt waren; nach der Entdeckung durch Ingenieure wurde die betreffende Website umgehend offline genommen.
Ähnliche Probleme traten zuvor auch bei SpaceX AI auf. Im März 2025 lud eine Mitarbeiterin oder ein Mitarbeiter versehentlich ein Testskript in ein öffentliches GitHub-Repository hoch und gab damit einen Grok-API-Schlüssel preis; im Sommer dieses Jahres wurde festgestellt, dass Grok Build möglicherweise vollständige Git-Code-Repositories auf den zu SpaceX gehörenden Google-Cloud-Speicher hochgeladen hatte, woraufhin die entsprechende Upload-Funktion deaktiviert wurde. Da Grok Bot zu einem wichtigen Produkt von SpaceX AI im Kampf um den KI-Markt für Unternehmen geworden ist, unterstreichen diese Vorfälle die Herausforderungen der Sicherheitsgovernance zwischen dem hochprivilegierten Zugriff von Agenten, der Erhebung von Trainingsdaten und dem Schutz von Unternehmensgeheimnissen.