Security Agents og Rollouts i Cursor: sikkerhedskontroller og udgivelsesovervågning

I Cursor Automations kan du konfigurere sikkerhedskontroller af kode og overvågning af udgivelser. Security Agents gennemgår pull requests (PR’er) og scanner hele kodebasen efter en tidsplan. Rollouts overvåger en ændring efter udrulning, er tilgængelig med Teams- og Enterprise-abonnementer og kræver tilsluttet telemetri: logfiler, målinger og traces.

Nedenfor finder du konfigurationstrinnene baseret på Cursors officielle dokumentation, hvordan forbruget af Security Agents opgøres, abonnementsbegrænsninger og forskellene i forhold til Bugbot og den manuelle kommando /review-security.

Du kan finde oplysninger om brugen af Ailoot i dokumentationen.

Hvad Security Agents er i Cursor#

Agenttypen afgør, hvordan en kontrol starter:

• Security Reviewer udløses af Git-hændelser: en pull request eller merge request.
• Vulnerability Scanner kører efter en cron-tidsplan og scanner kodebasen uafhængigt af PR-aktivitet.

Cron gør det muligt at planlægge tilbagevendende scanninger.

Sådan aktiverer du Security Reviewer og Vulnerability Scanner#

Trin

1. Åbn Security Agents i Automations (afsnittet er beskrevet i dokumentationen om Security Agents).
2. Vælg agenttypen: Security Reviewer (PR-gennemgang) eller Vulnerability Scanner (planlagt scanning).
3. Konfigurer en Git-udløser for Security Reviewer: en pull request- eller merge request-hændelse. Konfigurer en cron-tidsplan for Vulnerability Scanner.
4. Aktivér eller deaktiver de indbyggede sikkerhedskontroller: begge agenttyper har dem, og du kan tilpasse sættet til opgaven.
5. Tilslut et værktøj eller en MCP-server: det gør det muligt for agenten at oprette forbindelse til de systemer, hvor teamet håndterer sit sikkerhedsarbejde. Det er påkrævet for Security Reviewer: du kan ikke gemme den uden mindst én værktøjs- eller MCP-forbindelse. Vulnerability Scanner kan gemmes uden disse forbindelser og sender sine fund til listen Flagged Vulnerabilities.
6. Gem agenten.

Med værktøjer og MCP kan du sende sårbarheder, som agenten finder, til en Slack-kanal, et sagsstyringssystem eller et andet tilsluttet system.

Verifikation

Automations-historikken viser, hvornår hver agent kørte, hvilke værktøjer den brugte, hvordan kørslen sluttede, og hvor lang tid den tog. Hvis en Security Reviewer-kontrol kørte på Cursors hosting, skal du se under Recent Runs på siden Security Agents: her kan du åbne gennemgangssessionen i skrivebeskyttet tilstand.

Fund fra Vulnerability Scanner vises under Flagged Vulnerabilities på siden Security Agents og på hver scanners side. Listen er grupperet efter kodebase; du kan filtrere fund efter scanner, status, feedback og alvorsgrad. Hvert fund har handlingen Fix in Cursor, som starter en cloud-agent til at afhjælpe sårbarheden.

Fejl

Hvis Security Reviewer ikke kan gemmes, skal du kontrollere, at mindst én værktøjs- eller MCP-forbindelse er konfigureret: det er ikke muligt at gemme den uden en.

Hvem betaler for kontrollerne: forbrug af Security Agents#

Ifølge dokumentationen trækkes forbruget af Security Agents fra teamets forbrugspulje. Agenterne kører under teamets fælles tjenestekonto, så de bruger ikke det enkelte medlems forbrugskvote.

Dokumentationssiden angiver ikke priser eller hvilke abonnementer, der omfatter Security Agents. Før du aktiverer dem på tværs af alle kodebaser, skal du kontrollere tilgængeligheden på din konto og se, hvor meget de første kørsler bruger fra teamets pulje.

Sådan adskiller Security Reviewer sig fra /review-security og Bugbot#

Disse mekanismer har lignende formål, men starter på forskellige måder.

/review-security og /review kan køres manuelt fra agenten, før du sender kode til et eksternt kodearkiv. Som standard kontrollerer /review-security grenens ændringer i forhold til basegrenen, både ændringer, der allerede er gemt i commits, og ændringer, der endnu ikke er committed. Du kan bede den om kun at gennemgå sidstnævnte. Kommandoerne er tilgængelige i Cursor 3.7 og nyere, på cursor.com/agents og i Cursor CLI. Du bestemmer selv, hvornår gennemgangen skal køres.

Security Reviewer er en agent i Automations, der kører automatisk ved en Git-udløser.

Bugbot er et separat Cursor-produkt til PR-gennemgang. Ifølge dokumentationen leder det efter fejl, sårbarheder og problemer med kodekvaliteten og efterlader kommentarer med forklaringer og forslag til rettelser. Det kører automatisk, hver gang en PR opdateres, eller manuelt.

Security Agents er udviklet til sikkerhedskontroller: De har indbyggede kontroller, planlagte scanninger af hele kodebasen og en liste over Flagged Vulnerabilities med statusser og alvorsgrader. Dokumentationen sammenligner ikke kvaliteten af fund fra Bugbot og Security Agents.

Rollouts: overvågning efter udrulning#

Hvad Rollouts gør

Når en pull request åbnes, læser Rollouts ændringerne og de berørte systemer og opretter en overvågningsplan for udrulningen. Planen viser de identificerede risici, ændringens forventede effekt, signaler, der skal kontrolleres, og huller i dataindsamlingen, som gør ændringen vanskelig at verificere. På GitHub, GitLab.com og Bitbucket Cloud vises planen som en PR-kommentar.

Rollouts kører kontroller ved udrulningshændelser og sammenligner planen med logfiler, målinger og traces. Hvert miljø spores separat: En ændring kan bestå kontrollerne i et testmiljø og stadig blive markeret som problematisk i produktion. Kontroller køres ved udrulningen og derefter efter 20 minutter, 1 time, 1 dag og 3 dage.

Hvis der findes en regression, identificerer Rollouts den ændring, som den mistænker for at have forårsaget den, opretter en sag og underretter forfatteren. På sagens side starter knappen Fix issue en cloud-agent. Rollouts fletter, gendanner eller ruller ikke selv ændringer tilbage.

Sådan konfigurerer du Rollouts

1. Klik på Enable på Rollouts-kortet under From Cursor i Automations.
2. Vælg de kodebaser, der skal overvåges. Du kan angive op til 200 kodebaser i indstillingerne.
3. Konfigurer udrulningshændelser: Rollouts skal vide, hvornår hver produktionsudrulning starter og slutter. Opret en Cursor API-nøgle, og gem den som en hemmelighed i dit byggesystems (CI) hemmeligheder under navnet CURSOR_API_KEY. Derefter er der to muligheder: Tilføj kaldende manuelt i udrulningsprocessen (kommandoerne findes i afsnittet Send deployment events i dokumentationen om Rollouts), eller bed opsætningsagenten om at gøre det. Agenten åbner en PR med disse kald. Flet den PR for at afslutte opsætningen.
4. Tilslut telemetri, såsom Datadog. Mindst ét tilsluttet værktøj er påkrævet.
5. Vælg, hvordan PR-forfattere skal modtage underretninger.

Begrænsninger, der er lette at overse

Uden tilsluttet telemetri forbliver ændringer afventende, og Rollouts kan ikke registrere problemer. Hvis projektet endnu ikke har Datadog eller et lignende overvågningssystem, skal du først få det på plads.

Slack-underretninger er ikke tilgængelige i Privacy Mode. En teamadministrator skal først føje Rollouts til Slack.

Hvem har brug for dette, og hvem bør vente#

Hvis du arbejder alene, skal du kontrollere, om Security Agents er tilgængelige på din konto, før du aktiverer dem: forbruget trækkes fra teamets pulje, og dokumentationssiden angiver ikke, hvilke abonnementer der er berettigede. Du starter selv rettelsen af en sårbarhed, som scanneren har fundet: Fix in Cursor åbner en cloud-agent, der arbejder i kodebasen.

Ifølge dokumentationen er Rollouts kun tilgængelig med Teams- og Enterprise-abonnementer. Hvis du endnu ikke har et overvågningssystem såsom Datadog, skal du starte med det og derefter tilslutte Rollouts.

Læs mere om Cursor-abonnementer i hvad et Cursor-abonnement omfatter. Hvis du allerede har konfigureret opgavekoordinering mellem agenter i Cursor, kan du se Cursor Projects: sådan uddelegerer koordinatoren opgaver.

Opsummering#

Security Reviewer gennemgår PR’er før sammenfletning; Vulnerability Scanner scanner hele kodebasen efter en tidsplan. Forbruget for begge agenttyper trækkes fra teamets pulje. Rollouts overvåger en ændring efter udrulning, er tilgængelig med Teams- og Enterprise-abonnementer og kræver mindst én tilsluttet telemetrikilde.

Lær Ailoot at kende.