Security Agents et Rollouts dans Cursor : contrôles de sécurité et suivi des mises en production

Dans Cursor Automations, vous pouvez configurer des contrôles de sécurité du code et le suivi des mises en production. Security Agents examinent les pull requests (PR) et analysent l’ensemble du dépôt selon un calendrier. Rollouts surveille une modification après son déploiement, est disponible avec les offres Teams et Enterprise et nécessite des données de télémétrie connectées : journaux, métriques et traces.

Vous trouverez ci-dessous les étapes de configuration fondées sur la documentation officielle de Cursor, la manière dont l’utilisation de Security Agents est comptabilisée, les restrictions liées aux offres et les différences avec Bugbot et la commande manuelle /review-security.

Les informations sur l’utilisation d’Ailoot sont disponibles dans la documentation.

Que sont les Security Agents dans Cursor ?#

Le type d’agent détermine le mode de démarrage d’un contrôle :

• Security Reviewer est déclenché par des événements Git : une pull request ou une merge request.
• Vulnerability Scanner s’exécute selon un calendrier cron et analyse la base de code indépendamment de l’activité des PR.

Cron vous permet de planifier des exécutions récurrentes du scanner.

Activer Security Reviewer et Vulnerability Scanner#

Étapes

1. Ouvrez Security Agents dans Automations (la section est décrite dans la documentation de Security Agents).
2. Choisissez le type d’agent : Security Reviewer (examen de PR) ou Vulnerability Scanner (analyse planifiée).
3. Pour Security Reviewer, configurez un déclencheur Git : un événement de pull request ou de merge request. Pour Vulnerability Scanner, configurez un calendrier cron.
4. Activez ou désactivez les contrôles de sécurité intégrés : les deux types d’agents en disposent et vous pouvez adapter leur sélection à la tâche.
5. Connectez un outil ou un serveur MCP : ils permettent à l’agent de se connecter aux systèmes dans lesquels l’équipe gère ses activités de sécurité. Cette connexion est requise pour Security Reviewer : vous ne pouvez pas l’enregistrer sans au moins une connexion à un outil ou à MCP. Vulnerability Scanner peut être enregistré sans ces connexions et envoie ses résultats à la liste Flagged Vulnerabilities.
6. Enregistrez l’agent.

Les outils et MCP vous permettent d’envoyer les vulnérabilités détectées par l’agent vers un canal Slack, un outil de suivi des tickets ou un autre système connecté.

Vérification

L’historique d’Automations indique quand chaque agent s’est exécuté, quels outils il a utilisés, comment l’exécution s’est terminée et combien de temps elle a duré. Pour un contrôle de Security Reviewer exécuté sur l’hébergement de Cursor, consultez Recent Runs sur la page Security Agents : vous pouvez ouvrir la session d’examen en mode lecture seule.

Les résultats de Vulnerability Scanner apparaissent dans Flagged Vulnerabilities sur la page Security Agents et sur la page de chaque scanner. La liste est regroupée par dépôt ; vous pouvez filtrer les résultats par scanner, statut, commentaires et gravité. Chaque résultat comporte une action Fix in Cursor qui lance un Cloud Agent pour corriger la vulnérabilité.

Erreurs

Si Security Reviewer ne peut pas être enregistré, vérifiez qu’au moins une connexion à un outil ou à MCP est configurée : l’enregistrement échoue sans cela.

Qui paie les contrôles : utilisation de Security Agents#

Selon la documentation, l’utilisation de Security Agents est déduite du pool d’utilisation de l’équipe. Les agents s’exécutent sous le compte de service partagé de l’équipe et ne consomment donc pas le quota d’un membre individuel.

La page de documentation ne précise ni les prix ni les offres qui incluent Security Agents. Avant de les activer dans tous les dépôts, vérifiez leur disponibilité dans votre compte et la quantité prélevée sur le pool de l’équipe par les premières exécutions.

Différences entre Security Reviewer, /review-security et Bugbot#

Ces mécanismes ont des objectifs similaires, mais démarrent de façons différentes.

/review-security et /review peuvent être exécutés manuellement depuis l’agent avant d’envoyer du code vers un dépôt distant. Par défaut, /review-security compare les modifications de la branche à la branche de base, y compris celles déjà enregistrées dans des commits et celles qui ne sont pas encore validées. Vous pouvez lui demander de limiter l’examen à ces dernières. Les commandes sont disponibles dans Cursor 3.7 et versions ultérieures, sur cursor.com/agents et dans la Cursor CLI. C’est vous qui décidez quand lancer l’examen.

Security Reviewer est un agent d’Automations qui s’exécute automatiquement à partir d’un déclencheur Git.

Bugbot est un produit Cursor distinct destiné à l’examen des PR. Selon la documentation, il recherche des bugs, des vulnérabilités et des problèmes de qualité du code, puis laisse des commentaires avec des explications et des corrections suggérées. Il s’exécute automatiquement chaque fois qu’une PR est mise à jour, ou manuellement.

Security Agents sont conçus pour les contrôles de sécurité : ils proposent des contrôles intégrés, des analyses planifiées de l’ensemble du dépôt et une liste Flagged Vulnerabilities avec des statuts et des niveaux de gravité. La documentation ne compare pas la qualité des résultats de Bugbot et de Security Agents.

Rollouts : surveillance après le déploiement#

Ce que fait Rollouts

Lorsqu’une pull request est ouverte, Rollouts lit les modifications et les systèmes concernés, puis crée un plan de surveillance du déploiement. Ce plan répertorie les risques identifiés, l’effet attendu de la modification, les signaux à vérifier et les lacunes dans la collecte des données qui rendent la vérification de la modification difficile. Sur GitHub, GitLab.com et Bitbucket Cloud, le plan apparaît sous forme de commentaire sur la PR.

Rollouts exécute des contrôles lors des événements de déploiement et compare le plan aux journaux, aux métriques et aux traces. Chaque environnement fait l’objet d’un suivi distinct : une modification peut réussir les contrôles dans un environnement de test et néanmoins être signalée comme problématique en production. Les contrôles sont exécutés au moment du déploiement, puis après 20 minutes, 1 heure, 1 jour et 3 jours.

Si une régression est détectée, Rollouts identifie la modification qu’il soupçonne d’en être la cause, ouvre un ticket et en informe l’auteur. Sur la page du ticket, le bouton Fix issue lance un Cloud Agent. Rollouts ne fusionne, n’annule ni ne restaure lui-même les modifications.

Configurer Rollouts

1. Dans Automations, cliquez sur Enable sur la carte Rollouts sous From Cursor.
2. Choisissez les dépôts à surveiller. Vous pouvez en indiquer jusqu’à 200 dans les paramètres.
3. Configurez les événements de déploiement : Rollouts doit savoir quand chaque déploiement en production commence et se termine. Pour cela, créez une clé API Cursor et enregistrez-la sous CURSOR_API_KEY dans les secrets de votre système de build (CI). Vous avez ensuite deux options : ajouter manuellement les appels au processus de déploiement (les commandes figurent dans la section Send deployment events de la documentation de Rollouts) ou demander à l’agent de configuration de le faire. L’agent ouvrira une PR contenant ces appels. Fusionnez cette PR pour terminer la configuration.
4. Connectez les données de télémétrie, par exemple Datadog. Au moins un outil connecté est requis.
5. Choisissez comment les auteurs de PR recevront les notifications.

Restrictions faciles à oublier

Sans données de télémétrie connectées, les modifications restent en attente et Rollouts ne peut pas détecter les problèmes. Si le projet ne dispose pas encore de Datadog ou d’un système de surveillance similaire, vous devrez commencer par en installer un.

Les notifications Slack ne sont pas disponibles en Privacy Mode. Un administrateur d’équipe doit d’abord ajouter Rollouts à Slack.

À qui s’adresse cet outil, et qui devrait attendre#

Si vous travaillez seul, vérifiez si Security Agents sont disponibles dans votre compte avant de les activer : l’utilisation est prélevée sur le pool de l’équipe et la page de documentation ne répertorie pas les offres éligibles. C’est vous qui lancez la correction d’une vulnérabilité détectée par le scanner : Fix in Cursor ouvre un Cloud Agent qui intervient dans le dépôt.

Selon la documentation, Rollouts est disponible uniquement avec les offres Teams et Enterprise. Si vous ne disposez pas encore d’un système de surveillance tel que Datadog, commencez par en installer un, puis connectez Rollouts.

Pour en savoir plus sur les offres Cursor, consultez ce que comprend un abonnement Cursor. Si vous avez déjà configuré la coordination des tâches entre agents dans Cursor, consultez Cursor Projects : comment le coordinateur délègue les tâches.

Résumé#

Security Reviewer examine les PR avant leur fusion ; Vulnerability Scanner analyse l’ensemble du dépôt selon un calendrier. L’utilisation des deux types d’agents est déduite du pool de l’équipe. Rollouts surveille une modification après son déploiement, est disponible avec les offres Teams et Enterprise et nécessite au moins une source de télémétrie connectée.

Découvrez Ailoot.