인공지능 대형 모델과 에이전트가 비약적으로 발전하는 흐름 속에서 기업 내부의 데이터 보안과 프라이버시 경계가 다시 큰 관심을 받고 있습니다. 최근 개발을 담당하는 Cursor 내부에서 데이터 보안 파문이 일었는데, 그 원인은 내부 테스트 및 직원들의 일상적 사용에서 발생한 기밀 정보가 SpaceX의 AI 부서로 유출되었을 가능성 때문입니다.
사건의 초점은 SpaceX AI 부서 산하 에이전트 Grok Bot(초기 코드명 Sand)을 향해 있습니다. 2026년 6월경부터 Cursor 직원들은 여러 업무 환경에서 이 도구를 사용하기 시작했으며, 회사는 모델 학습을 위해 여러 측면의 조작 기록을 수집한 바 있습니다. 그러나 일부 직원이 로그인 시 개인 이메일을 사용했기 때문에 시스템이 관련 데이터를 정확히 식별하고 분리하기 어려웠습니다.
2026년 7월 하순, 개발을 담당한 엔지니어가 회사에 경고를 보내 이러한 테스트 및 일상 사용 데이터에 고객, 공급업체 등의 고도의 기밀 정보가 포함되어 있을 수 있으며 이미 SpaceX AI 부서로 전송되었다고 지적했습니다. 잠재적인 컴플라이언스 및 보안 리스크에 직면하여 Cursor는 즉시 내부 조사에 착수했지만, 현재까지 구체적인 조사 결론은 공개되지 않았습니다.
유사한 문제가 더 확대되는 것을 막기 위해 Cursor는 이후 일련의 뒤늦은 시행착오 개선 조치를 취했습니다. 회사는 직원들에게 일률적으로 회사 이메일로 로그인하도록 요구하는 동시에, 직원들의 이후 사용 데이터를 모델 학습에 포함하지 않겠다고 명확히 밝혔습니다. 내부 법무팀도 관련 데이터에 제3자의 영업 비밀이 포함되어 있을 수 있으며, 회사 자체가 이를 모델 학습에 직접 사용할 합법적 권한을 가지고 있지 않을 수 있다고 명확히 지적했습니다.
주목할 점은 데이터 보안 리스크가 최근 유일한 파문이 아니라는 것입니다. 그 이전인 올여름에도 Cursor는 또 한 번의 고객 정보 유출 사건을 겪었습니다. 당시 Vercel로 구축된 판매 마케팅 웹사이트에 비밀번호가 기저 코드에 직접 기재되어 여러 기업의 일부 고객 정보가 노출 위험에 처했으나, 다행히 엔지니어가 신속히 발견하고 해당 웹사이트를 긴급 오프라인으로 전환했습니다.
Grok Bot이 점차 SpaceX의 기업용 AI 시장 확보를 위한 핵심 제품으로 자리 잡으면서, 이 연쇄 사건은 최전선 도구의 내부 테스트 단계에서의 관리 허점을 드러냈을 뿐만 아니라, 에이전트의 고권한 접근, 학습 데이터 수집, 기업 기밀 보호 사이의 복잡하게 얽힌 보안 거버넌스 과제를 부각시켰습니다.