Cursor调查Grok Bot测试数据，涉客户机密风险

2026年7月下旬，Cursor的工程师发出警告：SpaceX AI部门旗下智能体Grok Bot在发布之前，内部测试以及员工日常操作所产生的数据，有可能涉及客户、供应商和商业伙伴的机密信息，而且这些内容或已流向SpaceX AI部门。据媒体调查，这款产品在正式亮相前就曾引起内部对数据安全的担忧。Cursor随后启动了内部调查，但结论至今没有对外公布。

Grok Bot早期的代号是Sand，Cursor员工大约从今年6月开始上手使用，销售、招聘、调研等环节都有涉及。为了把产品打磨好，Cursor收集过员工、外部个人和企业用户的操作记录，拿这些数据训练模型去学习智能体如何执行任务。麻烦在于，有些员工是用个人邮箱登录的，公司很难把相关数据认准。为此Cursor要求员工统一改用公司邮箱，并定下后续模型训练不再把员工使用数据算进去。Cursor的律师在内部通讯里也提过，这类数据里可能夹着客户和合作伙伴的机密信息，公司未必有合法权限拿它去训练模型。另外，今年夏季Cursor还出过一次客户信息泄露：公司用Vercel搭的销售与市场网站，把密码直接写进了底层代码，威瑞森、博世以及Coupa等企业的部分客户信息因此面临暴露风险，工程师发现后紧急把网站下线。

SpaceX AI此前也踩过类似的坑。2025年3月，有员工把测试脚本错传到公开的GitHub仓库，Grok API密钥随之泄露；到了今年夏季，Grok Build又被发现可能把完整的Git代码仓库上传到SpaceX旗下的谷歌云存储，之后相关上传功能被关掉。眼下Grok Bot已是SpaceX AI争夺企业级AI市场的重要产品，这些事件也把智能体高权限访问、训练数据采集与企业机密保护之间的安全治理难题摆了出来。