Cursor lanceert codehosting Origin en zet die standaard aan

Origin, de eigen codehostingdienst van Cursor, ging maandag 17 augustus live in early beta en staat standaard aan op alle betaalde abonnementen, behalve bij enterprise-organisaties waarvan de beheerder hem uitzet.

Daarmee ligt bij elk Nederlands ontwikkelteam dat Cursor gebruikt een vraag op tafel die niemand heeft gesteld: mag je broncode ook op een tweede plek staan, bij een leverancier die sinds 14 augustus onderdeel is van SpaceX. Die keuze is niet voorgelegd maar aangezet. En voor Origin zelf publiceerde Cursor geen bewaartermijn, geen dataregio, geen lijst van subverwerkers en geen exportgereedschap. Wat er wel vastligt, hangt aan één schakelaar: Privacy Mode.

Wat er precies live staat

Origin zit in een nieuw tabblad Codebase in Cursor. Een team claimt een naam, die het adres wordt (cursor.com/codebase/{owner}/{repo}), en pusht daarna vanaf de commandoregel. Elke repository krijgt pull requests met tijdlijn, commits, checks en gewijzigde bestanden, plus zoeken en bladeren door de code. De agents zitten in hetzelfde scherm als de code: je kunt een reviewopmerking aan een agent geven en die de pull request ter plekke laten aanpassen.

De documentatie is strakker dan de aankondiging. Origin draait op Pro, Teams en Enterprise en niet op het gratis plan, en de toegang gaat in fases open. Ook branch protection is er al: per repository stel je regels in die merges en pushes blokkeren die niet aan de eisen voldoen.

GitHub blijft de bron van waarheid

Dit ontwerp houdt de drempel laag. Je koppelt een GitHub-organisatie, kiest repositories, en die verschijnen naast de repo's die je in Origin zelf aanmaakt. Pushes blijven naar GitHub gaan, terwijl de code ook in Origin te bekijken en te doorzoeken is. Rechten spiegelen de bestaande lees- en schrijfinstellingen van GitHub in plaats van een tweede rechtenmodel op te tuigen, en reacties op pull requests lopen twee kanten op: wat je in Cursor typt verschijnt op GitHub en andersom.

Dat maakt het verschil tussen een migratie en een proef. Broncontrole verhuizen raakt je continue integratie, je auditsporen, je branch-regels en elke koppeling in de keten. Een spiegel waarbij GitHub de bron blijft, kost bijna niets om aan te zetten en breekt niets als je stopt.

Vercel, Depot en Buildkite draaien je bestaande Actions

Drie integraties stonden op dag één klaar. Vercel zet per pull request een previewomgeving neer en deployt naar productie bij een merge. Depot en Buildkite verzorgen de continue integratie, en allebei voeren ze bestaande GitHub Actions-workflows ongewijzigd uit. Geen buildsysteem herschrijven, geen pijplijn eruit trekken.

De datavoorwaarden ontbreken

Hier zit het werk voor wie dit moet goedkeuren. Over Origin is niets gepubliceerd over bewaartermijn, dataregio, gebruik voor training, subverwerkers of migratiegereedschap. De documentatie behandelt namespaces, welke abonnementen toegang krijgen, en één ding dat er echt toe doet: Origin volgt de Privacy Mode van de eigenaar van de namespace, het team of de persoon die de repo bezit. Teams op de oude privacy-instelling kunnen Origin helemaal niet aanzetten.

Wat die schakelaar doet, staat wel zwart op wit, op de datapagina die Cursor op 15 juli 2026 bijwerkte. Met Privacy Mode aan gebruikt Cursor je data niet voor training en gelden er zero-data-retention-afspraken met alle modelaanbieders. Staat hij uit, dan mag Cursor codebase-data, prompts, editoracties en codefragmenten opslaan en gebruiken om zijn modellen te trainen. Die zero-data-retention-afspraak kent zelf ook een uitzondering: neem je je eigen API-sleutel mee, dan geldt hij niet en valt de afhandeling onder het beleid van je modelaanbieder.

Origin verandert die regels niet, maar verschuift wel wie ze zet. De schakelaar hangt voortaan aan de eigenaar van de namespace, niet aan de ontwikkelaar die de repository spiegelt. Precies daar gaat het bij AI-codeertools vaker mis, want een privacy-instelling gaat over training en niet over de vraag of je code de deur uit gaat.

De uitweg is bovendien smal. In de aankondiging staat alleen dat beheerders van enterprise-organisaties Origin kunnen uitzetten. Voor Pro en Teams noemt Cursor geen centrale knop, dus in een team van vijf op een Teams-abonnement kan één ontwikkelaar een codebase claimen en repositories gaan spiegelen zonder dat er iemand ja heeft gezegd.

Waarom Cursor dit nu bouwt

Twee cijfers verklaren de timing. Het eerste komt van Cursor zelf: bij de lancering van zijn cloudagents in februari meldde het bedrijf dat 35 procent van zijn intern gemergde pull requests wordt aangemaakt door agents die zelfstandig in cloudsandboxen draaien. Een codeplatform dat ervan uitgaat dat achter elke pull request een mens zit die je kunt vragen wat hij bedoelde, klopt dan niet meer. De wachtrij wordt een planningsprobleem in plaats van een gesprek.

Het tweede gaat over GitHub. Tussen mei 2025 en april 2026 telde incidentmonitor IncidentHub 257 incidenten op GitHub, waarvan 48 grote, en 57 storingen in GitHub Actions alleen. GitHub-CTO Vlad Fedorov zei daarover dat het platform niet is gebouwd voor de schaal die het nu moet dragen, en dat er inmiddels wordt ontworpen voor dertig keer de huidige belasting, met agentische ontwikkelworkflows als aanjager.

Origin ging maandagochtend live. Ruim drie uur later stonden bij GitHub de API, Issues, Pull Requests, Actions en Copilot tegelijk op major outage, zes uur en tweeënveertig minuten lang. Productlanceringen liggen weken van tevoren vast en niets wijst erop dat Cursor dit heeft getimed, maar het toeval leverde de demonstratie die het argument nodig had.

Beschikbaarheid heeft een eindtijd, eigendom niet

De storing van maandag was om 20.22 UTC opgelost. Beschikbaarheid is een technisch probleem, en technische problemen gaan dicht. De vraag wie je broncode vasthoudt, wat die partij ermee mag en aan wie die partij verantwoording aflegt, heeft zo'n eindtijd niet. Cursor werd op 14 augustus ingelijfd voor 389,3 miljoen eigen SpaceX-aandelen en gaat intern verder als SpaceXAI. Eén concern levert dan de editor waarin agents code schrijven, de plek waar die code ligt en het model waarop die agents draaien.

Zolang GitHub de bron van waarheid blijft, is Origin een tweede venster op code die je al hebt, en kost uitproberen weinig. Maar juist de twee eigenschappen die het nu veilig maken, de GitHub-sync en de Actions-compatibiliteit, zijn de eerste die kunnen sneuvelen zodra Cursor het fundament wil bezitten in plaats van lenen. De tijd om te vragen hoe de weg terug eruitziet, is de periode waarin de spiegel nog een spiegel is: welke export er bestaat, in welke regio de data staat, en wie de Privacy Mode van de namespace in handen heeft. Dat is dezelfde inventaris waarmee het afbouwen van afhankelijkheid van één leverancier begint, en op een rustige dag is die goedkoper te maken dan op een dag dat er iets omvalt.