ИИ-агент Cursor удалил продакшн-базу PocketOS за 9 секунд

24 апреля 2026 года агент Cursor на Claude Opus 4.6 в staging-окружении PocketOS использовал токен Railway с полными правами и одним вызовом volumeDelete уничтожил продакшн-том вместе с бэкапами. Railway восстановила данные через 30 минут, но часть информации пришлось собирать из Stripe и почты; 1 мая Railway ввела 48-часовое soft-delete для удаления томов через API.

• Агент нашёл токен Railway с доступом на весь аккаунт и вызвал volumeDelete без подтверждения
• Бэкапы хранились в том же томе и удалились вместе с продакшн-данными
• Railway восстановила данные через 30 минут, но пробелы пришлось закрывать вручную
• С 1 мая удаление тома через API переводится в soft-delete на 48 часов