Security Agents és Rollouts a Cursorban: biztonsági ellenőrzések és kiadásfigyelés

A Cursor Automations szolgáltatásban kód-biztonsági ellenőrzéseket és kiadásfigyelést konfigurálhat. A Security Agents áttekinti a pull requesteket (PR-eket), és ütemezetten ellenőrzi a teljes repositoryt. A Rollouts a telepítés után figyeli a módosításokat, a Teams és Enterprise csomagokban érhető el, és csatlakoztatott telemetriát igényel: naplókat, metrikákat és trace-eket.

Az alábbiakban a Cursor hivatalos dokumentációján alapuló beállítási lépések, a Security Agents használatának elszámolása, a csomagkorlátozások, valamint a Bugbottól és a kézi /review-security parancstól való eltérések olvashatók.

Az Ailoot használatáról a dokumentációban talál információt.

Mik azok a Security Agents a Cursorban?#

Az ügynök típusa határozza meg, hogyan indul az ellenőrzés:

• Security Reviewer Git-események, azaz pull request vagy merge request indítására fut.
• Vulnerability Scanner cron-ütemezés szerint fut, és a PR-tevékenységtől függetlenül vizsgálja a kódbázist.

A cron segítségével ismétlődő vizsgálatokat ütemezhet.

A Security Reviewer és a Vulnerability Scanner engedélyezése#

Lépések

1. Nyissa meg a Security Agents részt az Automations felületen (a részt a Security Agents dokumentációja ismerteti).
2. Válassza ki az ügynök típusát: Security Reviewer (PR-áttekintés) vagy Vulnerability Scanner (ütemezett vizsgálat).
3. A Security Reviewer esetében állítson be Git-eseményindítót: pull request vagy merge request eseményt. A Vulnerability Scanner esetében állítson be cron-ütemezést.
4. Kapcsolja be vagy ki a beépített biztonsági ellenőrzéseket: mindkét ügynöktípus rendelkezik ilyenekkel, és a feladathoz igazíthatja a készletet.
5. Csatlakoztasson egy eszközt vagy MCP-kiszolgálót: ezek segítségével az ügynök kapcsolódhat azokhoz a rendszerekhez, ahol a csapat a biztonsági munkát kezeli. Ez a Security Reviewer esetében kötelező: legalább egy eszköz- vagy MCP-kapcsolat nélkül nem menthető. A Vulnerability Scanner ezek nélkül is menthető, és az eredményeit a Flagged Vulnerabilities listára küldi.
6. Mentse az ügynököt.

Az eszközök és az MCP lehetővé teszik, hogy az ügynök által talált sérülékenységeket Slack-csatornára, hibakövetőbe vagy más csatlakoztatott rendszerbe küldje.

Ellenőrzés

Az Automations előzményei megmutatják, mikor futott az egyes ügynök, milyen eszközöket használt, hogyan zárult a futás, és mennyi ideig tartott. A Cursor tárhelyén futott Security Reviewer-ellenőrzéshez keresse meg a Recent Runs részt a Security Agents oldalon: az áttekintési munkamenetet csak olvasható módban nyithatja meg.

A Vulnerability Scanner találatai a Security Agents oldalon és az egyes vizsgálók oldalán található Flagged Vulnerabilities részben jelennek meg. A lista repositorynként van csoportosítva; a találatokat vizsgáló, állapot, visszajelzés és súlyosság szerint szűrheti. Mindegyik mellett található egy Fix in Cursor művelet, amely cloud agentet indít a sérülékenység javításához.

Hibák

Ha a Security Reviewer nem menthető, ellenőrizze, hogy konfigurált-e legalább egy eszköz- vagy MCP-kapcsolatot: enélkül a mentés sikertelen.

Ki fizet az ellenőrzésekért: a Security Agents használata#

A dokumentáció szerint a Security Agents használata a csapat közös keretéből kerül levonásra. Az ügynökök a csapat megosztott szolgáltatásfiókja alatt futnak, így nem fogyasztják az egyes tagok saját keretét.

A dokumentációs oldal nem adja meg az árakat, és azt sem, hogy mely csomagok tartalmazzák a Security Agents szolgáltatást. Mielőtt minden repositoryban engedélyezné őket, ellenőrizze, hogy elérhetők-e a fiókjában, és nézze meg, mennyit fogyasztanak az első futások a csapat keretéből.

Miben különbözik a Security Reviewer a /review-security parancstól és a Bugbottól?#

Ezeknek a megoldásoknak hasonló a céljuk, de másként indulnak.

A /review-security és a /review kézzel futtatható az ügynökből, mielőtt a kódot egy távoli repositoryba küldené. Alapértelmezés szerint a /review-security a branch módosításait ellenőrzi az alapbranchhez képest, beleértve a commitokban már mentett és a még commitolatlan módosításokat is. Megkérheti, hogy csak az utóbbiakat tekintse át. A parancsok a Cursor 3.7-es és újabb verzióiban, a cursor.com/agents oldalon, valamint a Cursor CLI-ben érhetők el. Ön dönti el, mikor futtatja az áttekintést.

A Security Reviewer az Automations egyik ügynöke, amely Git-eseményindítóra automatikusan fut.

A Bugbot egy különálló Cursor-termék PR-ek áttekintésére. A dokumentáció szerint hibákat, sérülékenységeket és kódminőségi problémákat keres, majd magyarázatokat és javítási javaslatokat tartalmazó megjegyzéseket hagy. Automatikusan lefut minden PR-frissítéskor, de kézzel is indítható.

A Security Agents biztonsági ellenőrzésekre készült: beépített ellenőrzéseket, a teljes repository ütemezett vizsgálatát, valamint állapotokkal és súlyossági szintekkel ellátott Flagged Vulnerabilities listát kínál. A dokumentáció nem hasonlítja össze a Bugbot és a Security Agents találatainak minőségét.

Rollouts: megfigyelés a telepítés után#

Mit csinál a Rollouts?

A pull request megnyitásakor a Rollouts beolvassa a módosításokat és az érintett rendszereket, majd telepítésfigyelési tervet készít. A terv felsorolja az azonosított kockázatokat, a változtatás várható hatását, az ellenőrizendő jeleket, valamint az adatgyűjtés hiányosságait, amelyek megnehezítik a változtatás ellenőrzését. GitHubon, GitLab.com-on és Bitbucket Cloudon a terv PR-megjegyzésként jelenik meg.

A Rollouts telepítési eseményekkor ellenőrzéseket futtat, és a tervet összeveti a naplókkal, metrikákkal és trace-ekkel. Minden környezetet külön követ: egy módosítás átmehet a tesztkörnyezet ellenőrzésein, de éles környezetben még problémásnak jelölheti a rendszer. Az ellenőrzések a telepítéskor, majd 20 perc, 1 óra, 1 nap és 3 nap elteltével futnak.

Ha regressziót talál, a Rollouts azonosítja a feltételezett kiváltó módosítást, issue-t nyit, és értesíti a szerzőt. Az issue oldalán a Fix issue gomb cloud agentet indít. A Rollouts maga nem egyesíti, nem vonja vissza, és nem állítja vissza a módosításokat.

A Rollouts konfigurálása

1. Az Automations felületen kattintson az Enable gombra a From Cursor részen található Rollouts kártyán.
2. Válassza ki a figyelendő repositorykat. A beállításokban legfeljebb 200 repositoryt adhat meg.
3. Konfigurálja a telepítési eseményeket: a Rolloutsnak tudnia kell, mikor kezdődik és fejeződik be az egyes éles telepítés. Ehhez hozzon létre Cursor API-kulcsot, és tárolja a buildrendszer (CI) titkai között CURSOR_API_KEY néven. Ezután két lehetőség közül választhat: kézzel adja hozzá a hívásokat a telepítési folyamathoz (a parancsok a Rollouts dokumentációjának Send deployment events című részében találhatók), vagy kérje meg erre a beállító ügynököt. Az ügynök PR-t nyit ezekkel a hívásokkal. A beállítás befejezéséhez egyesítse ezt a PR-t.
4. Csatlakoztasson telemetriát, például a Datadogot. Legalább egy csatlakoztatott eszköz szükséges.
5. Válassza ki, hogyan kapjanak értesítést a PR-ek szerzői.

Könnyen figyelmen kívül hagyható korlátozások

Csatlakoztatott telemetria nélkül a módosítások függőben maradnak, és a Rollouts nem tudja észlelni a problémákat. Ha a projektben még nincs Datadog vagy hasonló megfigyelőrendszer, először azt kell beállítania.

Privacy Mode-ban a Slack-értesítések nem érhetők el. A csapat adminisztrátorának először hozzá kell adnia a Rolloutsot a Slackhez.

Kinek van erre szüksége, és kinek érdemes várnia?#

Ha egyedül dolgozik, az engedélyezés előtt ellenőrizze, hogy a Security Agents elérhető-e a fiókjában: a használat a csapat keretéből történik, a dokumentációs oldal pedig nem sorolja fel a jogosult csomagokat. A vizsgáló által talált sérülékenység javítását Ön indítja el: a Fix in Cursor cloud agentet nyit meg, amely a repositoryban dolgozik.

A dokumentáció szerint a Rollouts csak a Teams és Enterprise csomagokban érhető el. Ha még nincs Datadoghoz hasonló megfigyelőrendszere, először azt állítsa be, majd csatlakoztassa a Rolloutsot.

A Cursor-csomagokról további információt a mit tartalmaz egy Cursor-előfizetés című útmutatóban talál. Ha már beállította az ügynökök közötti feladatkoordinációt a Cursorban, olvassa el a Cursor Projects: hogyan delegál feladatokat a koordinátor című útmutatót.

Összefoglalás#

A Security Reviewer egyesítés előtt áttekinti a PR-eket; a Vulnerability Scanner ütemezetten vizsgálja a teljes repositoryt. Mindkét ügynöktípus használata a csapat keretéből kerül levonásra. A Rollouts a telepítés után figyeli a változtatást, a Teams és Enterprise csomagokban érhető el, és legalább egy csatlakoztatott telemetriaforrást igényel.

Ismerje meg az Ailootot.