Security Agents وRollouts في Cursor: فحوصات الأمان ومراقبة الإصدارات

في Cursor Automations، يمكنك إعداد فحوصات أمان التعليمات البرمجية ومراقبة الإصدارات. تراجع Security Agents طلبات السحب (PRs) وتفحص المستودع بأكمله وفق جدول زمني. تراقب Rollouts التغيير بعد نشره، وهي متاحة ضمن خطتي Teams وEnterprise، وتتطلب بيانات قياس عن بُعد متصلة: السجلات والمقاييس والتتبعات.

فيما يلي خطوات الإعداد استنادًا إلى وثائق Cursor الرسمية، وكيفية احتساب استخدام Security Agents، وقيود الخطط، والاختلافات بينها وبين Bugbot والأمر اليدوي /review-security.

تتوفر معلومات استخدام Ailoot في الوثائق.

ما هي Security Agents في Cursor#

يحدد نوع الوكيل كيفية بدء الفحص:

• Security Reviewer يُشغَّل بواسطة أحداث Git: طلب سحب أو طلب دمج.
• Vulnerability Scanner يعمل وفق جدول cron ويفحص قاعدة الشيفرة بشكل مستقل عن نشاط PR.

يتيح cron جدولة عمليات الفحص المتكررة.

كيفية تفعيل Security Reviewer وVulnerability Scanner#

الخطوات

1. افتح Security Agents في Automations (يوضح توثيق Security Agents هذا القسم).
2. اختر نوع الوكيل: Security Reviewer (مراجعة PR) أو Vulnerability Scanner (الفحص المجدول).
3. بالنسبة إلى Security Reviewer، أعدّ مشغّل Git: حدث طلب سحب أو طلب دمج. وبالنسبة إلى Vulnerability Scanner، أعدّ جدول cron.
4. فعّل فحوصات الأمان المدمجة أو عطّلها: يتضمنها كلا نوعي الوكلاء، ويمكنك تعديل مجموعة الفحوصات بما يناسب المهمة.
5. صِل أداة أو خادم MCP: يتيح ذلك للوكيل الاتصال بالأنظمة التي يدير فيها الفريق أعمال الأمان. وهذا مطلوب لـ Security Reviewer؛ فلا يمكنك حفظه من دون اتصال واحد على الأقل بأداة أو MCP. ويمكن حفظ Vulnerability Scanner من دون هذه الاتصالات، كما يرسل نتائجه إلى قائمة Flagged Vulnerabilities.
6. احفظ الوكيل.

تتيح الأدوات وMCP إرسال الثغرات التي يعثر عليها الوكيل إلى قناة Slack أو متعقّب مشكلات أو نظام آخر متصل.

التحقق

يعرض سجل Automations موعد تشغيل كل وكيل، والأدوات التي استخدمها، وكيف انتهى التشغيل، والمدة التي استغرقها. للتحقق من فحص Security Reviewer الذي نُفذ على استضافة Cursor، راجع Recent Runs في صفحة Security Agents؛ يمكنك فتح جلسة المراجعة في وضع القراءة فقط.

تظهر نتائج Vulnerability Scanner في Flagged Vulnerabilities في صفحة Security Agents وصفحة كل ماسح. تُجمع القائمة حسب المستودع؛ ويمكنك تصفية النتائج حسب الماسح والحالة والتعليقات ومستوى الخطورة. يتضمن كل عنصر إجراء Fix in Cursor الذي يبدأ وكيلًا سحابيًا لإصلاح الثغرة.

الأخطاء

إذا تعذر حفظ Security Reviewer، فتحقق من إعداد اتصال واحد على الأقل بأداة أو MCP؛ إذ يفشل الحفظ من دونه.

من يدفع مقابل الفحوصات: استخدام Security Agents#

وفقًا للوثائق، يُخصم استخدام Security Agents من رصيد استخدام الفريق. تعمل الوكلاء باستخدام حساب الخدمة المشترك للفريق، ولذلك لا تستهلك حصة أي عضو بعينه.

لا تحدد صفحة الوثائق الأسعار أو الخطط التي تتضمن Security Agents. قبل تفعيلها في جميع المستودعات، تحقق من توفرها في حسابك وراقب مقدار ما تستهلكه عمليات التشغيل الأولى من رصيد الفريق.

كيف يختلف Security Reviewer عن /review-security وBugbot#

تتشابه هذه الآليات في أهدافها، لكنها تبدأ بطرق مختلفة.

يمكن تشغيل /review-security و/review يدويًا من الوكيل قبل دفع الشيفرة إلى مستودع بعيد. افتراضيًا، يفحص /review-security تغييرات الفرع مقارنةً بالفرع الأساسي، بما يشمل التغييرات المحفوظة بالفعل في عمليات الإيداع والتغييرات التي لم تُودَع بعد. ويمكنك أن تطلب منه قصر المراجعة على التغييرات الأخيرة. تتوفر الأوامر في Cursor 3.7 وما بعده، وعلى cursor.com/agents وفي Cursor CLI. أنت من يحدد موعد إجراء المراجعة.

Security Reviewer وكيل في Automations يعمل تلقائيًا عند وقوع مشغّل Git.

Bugbot منتج منفصل من Cursor لمراجعة PR. ووفقًا للوثائق، يبحث عن الأخطاء والثغرات ومشكلات جودة الشيفرة، ويترك تعليقات تتضمن تفسيرات وإصلاحات مقترحة. يعمل تلقائيًا كلما حُدّث PR، أو يمكن تشغيله يدويًا.

صُممت Security Agents لفحوصات الأمان: فهي تتضمن فحوصات مدمجة، وفحوصات مجدولة للمستودع بأكمله، وقائمة Flagged Vulnerabilities تعرض الحالات ومستويات الخطورة. ولا تقارن الوثائق جودة النتائج التي تقدمها Bugbot وSecurity Agents.

Rollouts: المراقبة بعد النشر#

ما الذي تفعله Rollouts

عند فتح طلب سحب، تقرأ Rollouts التغييرات والأنظمة المتأثرة وتنشئ خطة لمراقبة النشر. تسرد الخطة المخاطر التي حددتها، والأثر المتوقع للتغيير، والمؤشرات التي ينبغي فحصها، والفجوات في جمع البيانات التي تجعل التحقق من التغيير صعبًا. في GitHub وGitLab.com وBitbucket Cloud، تظهر الخطة على شكل تعليق على PR.

تشغّل Rollouts الفحوصات عند أحداث النشر وتقارن الخطة بالسجلات والمقاييس والتتبعات. يُتابَع كل بيئة على حدة: فقد يجتاز التغيير الفحوصات في بيئة اختبار، ومع ذلك يُعلَّم على أنه يسبب مشكلة في الإنتاج. تُجرى الفحوصات عند النشر، ثم بعد 20 دقيقة، وساعة، ويوم، و3 أيام.

إذا اكتُشف تراجع، تحدد Rollouts التغيير الذي تشتبه في تسببه به، وتفتح مشكلة وتُخطر صاحب التغيير. في صفحة المشكلة، يبدأ زر Fix issue وكيلًا سحابيًا. لا تدمج Rollouts التغييرات أو تتراجع عنها أو تلغي نشرها بنفسها.

كيفية إعداد Rollouts

1. في Automations، انقر على Enable في بطاقة Rollouts ضمن From Cursor.
2. اختر المستودعات التي تريد مراقبتها. يمكنك تحديد ما يصل إلى 200 مستودع في الإعدادات.
3. أعدّ أحداث النشر: تحتاج Rollouts إلى معرفة موعد بدء كل عملية نشر إنتاجية وانتهائها. للقيام بذلك، أنشئ مفتاح API من Cursor واحفظه ضمن أسرار نظام البناء (CI) باسم CURSOR_API_KEY. بعد ذلك، يتوفر خياران: أضف الاستدعاءات يدويًا إلى عملية النشر (ترد الأوامر في قسم Send deployment events من توثيق Rollouts)، أو اطلب من وكيل الإعداد تنفيذ ذلك. سيفتح الوكيل PR يتضمن هذه الاستدعاءات. ادمج ذلك PR لإكمال الإعداد.
4. صِل بيانات القياس عن بُعد، مثل Datadog. يلزم وجود أداة متصلة واحدة على الأقل.
5. اختر كيفية تلقي أصحاب PR للإشعارات.

قيود يسهل إغفالها

من دون بيانات قياس عن بُعد متصلة، تظل التغييرات معلّقة ولا تستطيع Rollouts اكتشاف المشكلات. إذا لم يكن المشروع يستخدم Datadog أو نظام مراقبة مشابهًا بعد، فستحتاج إلى إعداده أولًا.

إشعارات Slack غير متاحة في Privacy Mode. يجب أن يضيف مسؤول الفريق Rollouts إلى Slack أولًا.

من يحتاج إلى هذه الأدوات، ومن ينبغي له الانتظار#

إذا كنت تعمل بمفردك، فتحقق من توفر Security Agents في حسابك قبل تفعيلها: يأتي الاستخدام من رصيد الفريق، ولا تذكر صفحة الوثائق الخطط المؤهلة. عليك بدء إصلاح الثغرة التي يعثر عليها الماسح بنفسك: يفتح Fix in Cursor وكيلًا سحابيًا للعمل في المستودع.

وفقًا للوثائق، لا تتوفر Rollouts إلا ضمن خطتي Teams وEnterprise. إذا لم يكن لديك بعد نظام مراقبة مثل Datadog، فابدأ به ثم صِل Rollouts بعد ذلك.

لمعرفة المزيد عن خطط Cursor، راجع ما الذي يتضمنه اشتراك Cursor. وإذا كنت قد أعددت بالفعل تنسيق المهام بين الوكلاء في Cursor، فراجع Cursor Projects: كيف يوزع المنسق المهام.

الملخص#

يراجع Security Reviewer طلبات PR قبل دمجها؛ ويفحص Vulnerability Scanner المستودع بأكمله وفق جدول زمني. يُخصم استخدام كلا نوعي الوكلاء من رصيد الفريق. تراقب Rollouts التغيير بعد نشره، وهي متاحة ضمن خطتي Teams وEnterprise، وتتطلب مصدرًا واحدًا على الأقل لبيانات القياس عن بُعد.

تعرّف على Ailoot.