Vor dem Hintergrund der rasanten Entwicklung großer KI-Modelle und Agenten werden die Grenzen von Datensicherheit und Datenschutz innerhalb von Unternehmen erneut mit hoher Aufmerksamkeit betrachtet. Kürzlich wurde der für die Entwicklung zuständige Anbieter Cursor von einem Datensicherheits skandal erschüttert. Auslöser war, dass vertrauliche Informationen, die bei internen Tests und der täglichen Nutzung durch Mitarbeiter anfielen, möglicherweise bereits in den KI-Bereich von SpaceX geflossen sind.
Der Fokus des Vorfalls richtet sich auf den Agenten Grok Bot (zunächst unter dem Codenamen Sand) aus dem KI-Bereich von SpaceX. Bereits etwa im 6. Monat (Juni) 2026 begannen Cursor-Mitarbeiter, das Tool in mehreren Arbeitsszenarien zu verwenden, und das Unternehmen hatte zudem Betriebsaufzeichnungen verschiedener Seiten für das Modelltraining gesammelt. Da jedoch einige Mitarbeiter sich bei der Anmeldung mit privaten E-Mail-Adressen angemeldet hatten, konnte das System die relevanten Daten nur schwer genau identifizieren und herausfiltern.
Ende des 7. Monats (Juli) 2026 warnten die für die Entwicklung zuständigen Ingenieure das Unternehmen und wiesen darauf hin, dass diese Test- und Nutzungsdaten möglicherweise hochgradig vertrauliche Informationen über Kunden, Lieferanten und andere enthielten und bereits an den KI-Bereich von SpaceX übertragen worden seien. Angesichts möglicher Compliance- und Sicherheitsrisiken leitete Cursor umgehend eine interne Untersuchung ein; konkrete Untersuchungsergebnisse wurden jedoch bisher nicht veröffentlicht.
Um eine Ausweitung ähnlicher Probleme zu verhindern, ergriff Cursor anschließend eine Reihe von Maßnahmen zur Schadensbegrenzung. Das Unternehmen verlangte von den Mitarbeitern, sich künftig ausschließlich mit Firmen-E-Mail-Adressen anzumelden, und stellte zugleich klar, dass die künftigen Nutzungsdaten der Mitarbeiter nicht mehr in das Modelltraining einbezogen werden. Das interne Rechtsteam des Unternehmens wies zudem ausdrücklich darauf hin, dass die betreffenden Daten Geschäftsgeheimnisse Dritter enthalten könnten und das Unternehmen selbst möglicherweise nicht über die gesetzliche Befugnis verfüge, diese direkt für das Modelltraining zu verwenden.
Bemerkenswert ist, dass dieser Datensicherheits skandal nicht der einzige Zwischenfall der letzten Zeit war. Bereits früher in diesem Sommer hatte es bei Cursor einen weiteren Vorfall gegeben, bei dem Kundeninformationen preisgegeben wurden. Damels war auf der über Vercel betriebenen Vertriebs- und Marketing-Website das Passwort direkt im zugrunde liegenden Code hinterlegt, wodurch Teile der Kundeninformationen mehrerer Unternehmen beinahe offengelegt worden wären. Ingenieuren gelang es jedoch rechtzeitig, den Vorfall zu entdecken und die betroffene Website notfalls außer Betrieb zu nehmen.
Da Grok Bot zunehmend zu einem wichtigen Kernprodukt von SpaceX im Kampf um den KI-Markt für Unternehmen wird, legen diese Ereignisse nicht nur Managementlücken fortschrittlicher Tools in der internen Testphase offen, sondern verdeutlichen auch die komplexen Herausforderungen der Sicherheits governance, die zwischen hochprivilegierten Agentenzugriffen, der Erfassung von Trainingsdaten und dem Schutz von Unternehmensgeheimnissen bestehen.