Security Agents y Rollouts en Cursor: comprobaciones de seguridad y supervisión de lanzamientos

En Cursor Automations, puedes configurar comprobaciones de seguridad del código y supervisar lanzamientos. Security Agents revisa las pull requests (PR) y analiza todo el repositorio según un calendario. Rollouts supervisa un cambio después de su despliegue, está disponible en los planes Teams y Enterprise y requiere telemetría conectada: registros, métricas y trazas.

A continuación se indican los pasos de configuración basados en la documentación oficial de Cursor, cómo se contabiliza el uso de Security Agents, las restricciones de los planes y las diferencias con Bugbot y el comando manual /review-security.

Encontrarás información sobre el uso de Ailoot en la documentación.

¿Qué son Security Agents en Cursor?#

El tipo de agente determina cómo se inicia una comprobación:

• Security Reviewer se activa mediante eventos de Git: una pull request o una merge request.
• Vulnerability Scanner se ejecuta según un calendario cron y analiza el código base independientemente de la actividad de las PR.

Cron permite programar ejecuciones recurrentes del escáner.

Cómo habilitar Security Reviewer y Vulnerability Scanner#

Pasos

1. Abre Security Agents en Automations (la sección se describe en la documentación de Security Agents).
2. Elige el tipo de agente: Security Reviewer (revisión de PR) o Vulnerability Scanner (análisis programado).
3. Para Security Reviewer, configura un desencadenador de Git: un evento de pull request o merge request. Para Vulnerability Scanner, configura un calendario cron.
4. Habilita o deshabilita las comprobaciones de seguridad integradas: ambos tipos de agente las incluyen y puedes ajustar el conjunto según la tarea.
5. Conecta una herramienta o un servidor MCP: esto permite que el agente se conecte a los sistemas en los que el equipo gestiona su trabajo de seguridad. Es obligatorio para Security Reviewer: no puedes guardarlo sin al menos una conexión de herramienta o MCP. Vulnerability Scanner se puede guardar sin ellas y envía sus resultados a la lista Flagged Vulnerabilities.
6. Guarda el agente.

Las herramientas y MCP permiten enviar las vulnerabilidades detectadas por el agente a un canal de Slack, un gestor de incidencias u otro sistema conectado.

Verificación

El historial de Automations muestra cuándo se ejecutó cada agente, qué herramientas utilizó, cómo terminó la ejecución y cuánto duró. Si una comprobación de Security Reviewer se ejecutó en el alojamiento de Cursor, consulta Recent Runs en la página de Security Agents: puedes abrir la sesión de revisión en modo de solo lectura.

Los resultados de Vulnerability Scanner aparecen en Flagged Vulnerabilities, en la página de Security Agents y en la página de cada escáner. La lista está agrupada por repositorio; puedes filtrar los resultados por escáner, estado, comentarios y gravedad. Cada resultado incluye la acción Fix in Cursor, que inicia un Cloud Agent para corregir la vulnerabilidad.

Errores

Si no puedes guardar Security Reviewer, comprueba que haya al menos una conexión de herramienta o MCP configurada: el guardado falla si no la hay.

Quién paga las comprobaciones: uso de Security Agents#

Según la documentación, el uso de Security Agents se descuenta del fondo común de uso del equipo. Los agentes se ejecutan con la cuenta de servicio compartida del equipo, por lo que no consumen la asignación de un miembro individual.

La página de documentación no especifica los precios ni qué planes incluyen Security Agents. Antes de habilitarlos en todos los repositorios, comprueba si están disponibles en tu cuenta y cuánto consumen las primeras ejecuciones del fondo común del equipo.

En qué se diferencian Security Reviewer, /review-security y Bugbot#

Estos mecanismos tienen objetivos similares, pero se inician de distintas maneras.

/review-security y /review se pueden ejecutar manualmente desde el agente antes de enviar código a un repositorio remoto. De forma predeterminada, /review-security comprueba los cambios de la rama en comparación con la rama base, incluidos tanto los cambios ya guardados en commits como los que aún no se han confirmado. Puedes pedirle que limite la revisión a estos últimos. Los comandos están disponibles en Cursor 3.7 y versiones posteriores, en cursor.com/agents y en Cursor CLI. Tú decides cuándo ejecutar la revisión.

Security Reviewer es un agente de Automations que se ejecuta automáticamente cuando se produce un desencadenador de Git.

Bugbot es un producto de Cursor independiente para revisar PR. Según la documentación, busca errores, vulnerabilidades y problemas de calidad del código, y deja comentarios con explicaciones y soluciones sugeridas. Se ejecuta automáticamente cada vez que se actualiza una PR, o manualmente.

Security Agents están diseñados para las comprobaciones de seguridad: incluyen comprobaciones integradas, análisis programados de todo el repositorio y una lista Flagged Vulnerabilities con estados y niveles de gravedad. La documentación no compara la calidad de los resultados de Bugbot y Security Agents.

Rollouts: supervisión después del despliegue#

Qué hace Rollouts

Cuando se abre una pull request, Rollouts lee los cambios y los sistemas afectados y crea un plan de supervisión del despliegue. El plan enumera los riesgos que ha identificado, el efecto previsto del cambio, las señales que debe comprobar y las carencias en la recopilación de datos que dificultan verificar el cambio. En GitHub, GitLab.com y Bitbucket Cloud, el plan aparece como un comentario de la PR.

Rollouts ejecuta comprobaciones cuando se producen eventos de despliegue y compara el plan con los registros, las métricas y las trazas. Cada entorno se supervisa por separado: un cambio puede superar las comprobaciones en un entorno de pruebas y, aun así, marcarse como problemático en producción. Las comprobaciones se ejecutan en el momento del despliegue y, después, al cabo de 20 minutos, 1 hora, 1 día y 3 días.

Si detecta una regresión, Rollouts identifica el cambio que sospecha que la ha causado, abre una incidencia y avisa al autor. En la página de la incidencia, el botón Fix issue inicia un Cloud Agent. Rollouts no fusiona, revierte ni deshace cambios por sí mismo.

Cómo configurar Rollouts

1. En Automations, haz clic en Enable, en la tarjeta Rollouts de From Cursor.
2. Elige los repositorios que quieras supervisar. Puedes especificar hasta 200 repositorios en los ajustes.
3. Configura los eventos de despliegue: Rollouts necesita saber cuándo empieza y termina cada despliegue en producción. Para ello, crea una clave de API de Cursor y guárdala como CURSOR_API_KEY en los secretos de tu sistema de compilación (CI). Después, tienes dos opciones: añadir manualmente las llamadas al proceso de despliegue (los comandos están en la sección Send deployment events de la documentación de Rollouts) o pedirle al agente de configuración que lo haga. El agente abrirá una PR que contiene esas llamadas. Fusiona esa PR para completar la configuración.
4. Conecta telemetría, como Datadog. Se requiere al menos una herramienta conectada.
5. Elige cómo recibirán las notificaciones los autores de las PR.

Restricciones que es fácil pasar por alto

Sin telemetría conectada, los cambios quedan pendientes y Rollouts no puede detectar problemas. Si el proyecto aún no tiene Datadog ni un sistema de supervisión similar, primero tendrás que instalar uno.

Las notificaciones de Slack no están disponibles en Privacy Mode. Un administrador del equipo debe añadir primero Rollouts a Slack.

Para quién es y quién debería esperar#

Si trabajas por tu cuenta, comprueba si Security Agents están disponibles en tu cuenta antes de habilitarlos: el uso se descuenta del fondo común del equipo y la página de documentación no indica qué planes son aptos. Tú mismo inicias la corrección de una vulnerabilidad detectada por el escáner: Fix in Cursor abre un Cloud Agent para trabajar en el repositorio.

Según la documentación, Rollouts solo está disponible en los planes Teams y Enterprise. Si aún no tienes un sistema de supervisión como Datadog, empieza por instalarlo y conecta Rollouts después.

Para obtener más información sobre los planes de Cursor, consulta qué incluye una suscripción a Cursor. Si ya tienes configurada la coordinación de tareas entre agentes en Cursor, consulta Cursor Projects: cómo el coordinador delega tareas.

Resumen#

Security Reviewer revisa las PR antes de su fusión; Vulnerability Scanner analiza todo el repositorio según un calendario. El uso de ambos tipos de agente se descuenta del fondo común del equipo. Rollouts supervisa un cambio después del despliegue, está disponible en los planes Teams y Enterprise y requiere al menos una fuente de telemetría conectada.

Descubre Ailoot.