Security Agents ja Rollouts Cursorissa: tietoturvatarkistukset ja julkaisujen seuranta

Cursor Automationsissa voit määrittää koodin tietoturvatarkistuksia ja julkaisujen seurantaa. Security Agents tarkistaa pull requestit (PR:t) ja skannaa koko koodivaraston aikataulun mukaan. Rollouts seuraa muutosta käyttöönoton jälkeen, on saatavilla Teams- ja Enterprise-tilauksissa ja edellyttää yhdistettyä telemetriaa: lokeja, mittareita ja jäljitystietoja.

Alla ovat Cursorin viralliseen dokumentaatioon perustuvat määritysohjeet, tiedot siitä, miten Security Agents -käyttö lasketaan, tilausten rajoitukset sekä erot Bugbotiin ja manuaaliseen /review-security-komentoon.

Tietoja Ailootin käytöstä on dokumentaatiossa.

Mitä Security Agents on Cursorissa#

Agenttityyppi määrittää, miten tarkistus käynnistyy:

• Security Reviewer käynnistyy Git-tapahtumista: pull requestista tai merge requestista.
• Vulnerability Scanner suoritetaan cron-aikataulun mukaisesti ja se skannaa koodipohjan PR-toiminnasta riippumatta.

Cronin avulla voit ajastaa toistuvia skannauksia.

Security Reviewerin ja Vulnerability Scannerin käyttöönotto#

Vaiheet

1. Avaa Security Agents Automationsissa (osio kuvataan Security Agents -dokumentaatiossa).
2. Valitse agenttityyppi: Security Reviewer (PR-tarkistus) tai Vulnerability Scanner (ajastettu skannaus).
3. Määritä Security Reviewerille Git-käynnistin: pull request- tai merge request -tapahtuma. Määritä Vulnerability Scannerille cron-aikataulu.
4. Ota sisäänrakennetut tietoturvatarkistukset käyttöön tai poista ne käytöstä: molemmissa agenttityypeissä on niitä, ja voit mukauttaa valikoimaa tehtävän mukaan.
5. Yhdistä työkalu tai MCP-palvelin: niiden avulla agentti voi muodostaa yhteyden järjestelmiin, joissa tiimi hallinnoi tietoturvatyötään. Tämä on pakollista Security Reviewerille: sitä ei voi tallentaa ilman vähintään yhtä työkalu- tai MCP-yhteyttä. Vulnerability Scanner voidaan tallentaa ilman niitä, ja se lähettää löydöksensä Flagged Vulnerabilities -luetteloon.
6. Tallenna agentti.

Työkalujen ja MCP:n avulla voit lähettää agentin löytämät haavoittuvuudet Slack-kanavaan, tikettijärjestelmään tai muuhun yhdistettyyn järjestelmään.

Varmistus

Automations-historiasta näet, milloin kukin agentti suoritettiin, mitä työkaluja se käytti, miten suoritus päättyi ja kuinka kauan se kesti. Jos Security Reviewer -tarkistus suoritettiin Cursorsin palvelimilla, etsi se Security Agents -sivun kohdasta Recent Runs: voit avata tarkistusistunnon vain luku -tilassa.

Vulnerability Scannerin löydökset näkyvät Security Agents -sivun ja kunkin skannerin sivun kohdassa Flagged Vulnerabilities. Luettelo on ryhmitelty koodivaraston mukaan; voit suodattaa löydöksiä skannerin, tilan, palautteen ja vakavuuden perusteella. Jokaisessa löydöksessä on Fix in Cursor -toiminto, joka käynnistää haavoittuvuuden korjaavan pilviagentin.

Virheet

Jos Security Revieweria ei voi tallentaa, tarkista, että vähintään yksi työkalu- tai MCP-yhteys on määritetty: tallennus ei onnistu ilman sitä.

Kuka maksaa tarkistukset: Security Agentsin käyttö#

Dokumentaation mukaan Security Agentsin käyttö vähennetään tiimin käyttöpoolista. Agentit toimivat tiimin yhteisen palvelutilin alla, joten ne eivät kuluta yksittäisen jäsenen käyttökiintiötä.

Dokumentaatiosivulla ei ilmoiteta hintoja eikä sitä, mitkä tilaukset sisältävät Security Agentsin. Tarkista ennen niiden käyttöönottoa kaikissa koodivarastoissa, ovatko ne käytettävissä tililläsi, ja selvitä, kuinka paljon ensimmäiset suoritukset kuluttavat tiimin poolista.

Security Reviewerin erot /review-security-komentoon ja Bugbotiin#

Näillä mekanismeilla on samankaltaiset tavoitteet, mutta ne käynnistyvät eri tavoin.

/review-security ja /review voidaan suorittaa manuaalisesti agentissa ennen koodin lähettämistä etäkoodivarastoon. Oletusarvoisesti /review-security tarkistaa haaran muutokset suhteessa perushaaraan, mukaan lukien sekä committeihin jo tallennetut että vielä committaamattomat muutokset. Voit pyytää sitä rajaamaan tarkistuksen jälkimmäisiin. Komennot ovat käytettävissä Cursor 3.7:ssä ja sitä uudemmissa versioissa, osoitteessa cursor.com/agents ja Cursor CLI:ssä. Päätät itse, milloin tarkistus suoritetaan.

Security Reviewer on Automations-agentti, joka suoritetaan automaattisesti Git-käynnistimen perusteella.

Bugbot on erillinen Cursor-tuote PR-tarkistuksiin. Dokumentaation mukaan se etsii bugeja, haavoittuvuuksia ja koodin laatuongelmia sekä jättää kommentteja, joissa on selityksiä ja korjausehdotuksia. Se suoritetaan automaattisesti aina, kun PR päivitetään, tai manuaalisesti.

Security Agents on suunniteltu tietoturvatarkistuksiin: siinä on sisäänrakennettuja tarkistuksia, koko koodivaraston ajastettuja skannauksia ja Flagged Vulnerabilities -luettelo, jossa näkyvät tilat ja vakavuusasteet. Dokumentaatiossa ei verrata Bugbotin ja Security Agentsin löydösten laatua.

Rollouts: seuranta käyttöönoton jälkeen#

Mitä Rollouts tekee

Kun pull request avataan, Rollouts lukee muutokset ja niiden vaikutuspiirissä olevat järjestelmät ja laatii käyttöönoton seurantasuunnitelman. Suunnitelmassa luetellaan tunnistetut riskit, muutoksen odotettu vaikutus, tarkistettavat signaalit ja tiedonkeruun puutteet, jotka vaikeuttavat muutoksen varmentamista. GitHubissa, GitLab.comissa ja Bitbucket Cloudissa suunnitelma näkyy PR-kommenttina.

Rollouts suorittaa tarkistuksia käyttöönottotapahtumien yhteydessä ja vertaa suunnitelmaa lokeihin, mittareihin ja jäljitystietoihin. Kutakin ympäristöä seurataan erikseen: muutos voi läpäistä tarkistukset testiympäristössä ja silti tulla merkityksi ongelmalliseksi tuotannossa. Tarkistukset suoritetaan käyttöönottohetkellä sekä 20 minuutin, 1 tunnin, 1 päivän ja 3 päivän kuluttua.

Jos regressio havaitaan, Rollouts tunnistaa muutoksen, jonka se epäilee aiheuttaneen sen, avaa tiketin ja ilmoittaa asiasta tekijälle. Tikettisivun Fix issue -painike käynnistää pilviagentin. Rollouts ei itse yhdistä, palauta eikä peruuta muutoksia.

Rolloutsin määrittäminen

1. Napsauta Automationsissa From Cursor -osion Rollouts-kortin Enable-painiketta.
2. Valitse seurattavat koodivarastot. Asetuksissa voi määrittää enintään 200 koodivarastoa.
3. Määritä käyttöönottotapahtumat: Rolloutsin on tiedettävä, milloin kukin tuotantoon käyttöönotto alkaa ja päättyy. Luo Cursor API -avain ja tallenna se koontijärjestelmäsi (CI) salaisuuksiin nimellä CURSOR_API_KEY. Sen jälkeen voit valita kahdesta vaihtoehdosta: lisää kutsut manuaalisesti käyttöönottoprosessiin (komennot ovat Rollouts-dokumentaation kohdassa Send deployment events) tai pyydä määritysagenttia tekemään se. Agentti avaa PR:n, joka sisältää nämä kutsut. Viimeistele määritys yhdistämällä PR.
4. Yhdistä telemetria, esimerkiksi Datadog. Vähintään yksi yhdistetty työkalu vaaditaan.
5. Valitse, miten PR:n tekijät saavat ilmoitukset.

Helposti huomaamatta jäävät rajoitukset

Ilman yhdistettyä telemetriaa muutokset jäävät odottamaan, eikä Rollouts pysty havaitsemaan ongelmia. Jos projektissa ei vielä ole Datadogia tai vastaavaa valvontajärjestelmää, se on hankittava ensin.

Slack-ilmoitukset eivät ole käytettävissä Privacy Modessa. Tiimin järjestelmänvalvojan on ensin lisättävä Rollouts Slackiin.

Kenen kannattaa käyttää tätä ja kenen odottaa#

Jos työskentelet yksin, tarkista ennen käyttöönottoa, onko Security Agents saatavilla tililläsi: käyttö vähennetään tiimin poolista, eikä dokumentaatiosivulla luetella niihin oikeuttavia tilauksia. Käynnistät skannerin löytämän haavoittuvuuden korjauksen itse: Fix in Cursor avaa pilviagentin työskentelemään koodivarastossa.

Dokumentaation mukaan Rollouts on saatavilla vain Teams- ja Enterprise-tilauksissa. Jos sinulla ei vielä ole Datadogin kaltaista valvontajärjestelmää, aloita siitä ja yhdistä Rollouts vasta sen jälkeen.

Lisätietoja Cursorin tilauksista on artikkelissa mitä Cursor-tilaus sisältää. Jos olet jo määrittänyt agenttien välisen tehtävien koordinoinnin Cursorissa, katso Cursor Projects: miten koordinaattori delegoi tehtäviä.

Yhteenveto#

Security Reviewer tarkistaa PR:t ennen yhdistämistä; Vulnerability Scanner skannaa koko koodivaraston aikataulun mukaan. Molempien agenttityyppien käyttö vähennetään tiimin poolista. Rollouts seuraa muutosta käyttöönoton jälkeen, on saatavilla Teams- ja Enterprise-tilauksissa ja edellyttää vähintään yhtä yhdistettyä telemetrialähdettä.

Tutustu Ailootiin.