Selon une enquête de la presse, l'agent Grok Bot, relevant de la division IA de SpaceX, avait suscité des inquiétudes internes concernant la sécurité des données avant sa publication. Fin du mois 7 de 2026, les ingénieurs de Cursor, chargés du développement de ce produit, ont averti que les données générées par les tests internes et l'usage quotidien des employés pouvaient contenir des informations confidentielles de clients, de fournisseurs et de partenaires commerciaux, et avaient possiblement déjà été transmises à la division IA de SpaceX. Cursor a ensuite lancé une enquête interne, mais les conclusions de celle-ci n'ont pas encore été rendues publiques.
Grok Bot portait initialement le nom de code Sand, et les employés de Cursor ont commencé à l'utiliser vers le mois 6 de cette année, dans des scénarios couvrant les ventes, le recrutement et les études. Afin d'optimiser le produit, Cursor avait collecté les traces d'activité des employés, de personnes externes et d'utilisateurs professionnels, afin d'entraîner le modèle à apprendre la manière dont l'agent exécute des tâches. Comme certains employés s'étaient connectés avec des adresses e-mail personnelles, l'entreprise a eu du mal à identifier avec précision les données concernées. À ce sujet, Cursor a demandé aux employés d'utiliser désormais l'adresse e-mail de l'entreprise et a décidé de ne plus intégrer les données d'utilisation des employés dans l'entraînement des modèles à l'avenir. Les avocats de Cursor avaient fait remarquer dans des communications internes que les données concernées pouvaient contenir des informations confidentielles de clients et de partenaires, et que l'entreprise ne disposait pas nécessairement du droit légal de les utiliser pour l'entraînement de modèles.
Par ailleurs, Cursor a également connu cet été une fuite d'informations clients. Sur le site de vente et de marketing construit par l'entreprise via Vercel, les mots de passe avaient été écrits directement dans le code sous-jacent, exposant les informations de certains clients d'entreprises telles que Verizon, Bosch et Coupa ; après la découverte par des ingénieurs, le site concerné a été rapidement mis hors ligne.
La division IA de SpaceX avait déjà rencontré des problèmes similaires. En mars 2025, un employé a téléchargé par erreur un script de test sur un dépôt GitHub public, divulguant une clé API de Grok ; cet été, il a été découvert que Grok Build pouvait télécharger des dépôts de code Git complets vers le stockage Google Cloud appartenant à SpaceX, et la fonctionnalité de téléversement concernée a ensuite été désactivée. Alors que Grok Bot devient un produit clé de la division IA de SpaceX dans la conquête du marché de l'IA d'entreprise, ces incidents mettent en évidence les défis de gouvernance de la sécurité entre l'accès à hauts privilèges des agents, la collecte de données d'entraînement et la protection des secrets d'entreprise.