Security Agents dan Rollouts di Cursor: Pemeriksaan Keamanan dan Pemantauan Rilis

Di Cursor Automations, Anda dapat mengonfigurasi pemeriksaan keamanan kode dan pemantauan rilis. Security Agents meninjau pull request (PR) dan memindai seluruh repositori sesuai jadwal. Rollouts memantau perubahan setelah deployment, tersedia pada paket Teams dan Enterprise, serta memerlukan telemetri yang terhubung: log, metrik, dan trace.

Di bawah ini adalah langkah-langkah penyiapan berdasarkan dokumentasi resmi Cursor, cara penggunaan Security Agents diperhitungkan, batasan paket, serta perbedaannya dari Bugbot dan perintah manual /review-security.

Informasi tentang penggunaan Ailoot tersedia di dokumentasi.

Apa itu Security Agents di Cursor#

Jenis agen menentukan cara pemeriksaan dimulai:

• Security Reviewer dipicu oleh peristiwa Git: pull request atau merge request.
• Vulnerability Scanner berjalan sesuai jadwal cron dan memindai codebase tanpa bergantung pada aktivitas PR.

Cron memungkinkan Anda menjadwalkan pemindaian berulang.

Cara mengaktifkan Security Reviewer dan Vulnerability Scanner#

Langkah-langkah

1. Buka Security Agents di Automations (bagian ini dijelaskan dalam dokumentasi Security Agents).
2. Pilih jenis agen: Security Reviewer (peninjauan PR) atau Vulnerability Scanner (pemindaian terjadwal).
3. Untuk Security Reviewer, konfigurasikan pemicu Git: peristiwa pull request atau merge request. Untuk Vulnerability Scanner, konfigurasikan jadwal cron.
4. Aktifkan atau nonaktifkan pemeriksaan keamanan bawaan: kedua jenis agen memilikinya, dan Anda dapat menyesuaikan rangkaiannya sesuai tugas.
5. Hubungkan alat atau server MCP: koneksi ini memungkinkan agen terhubung ke sistem yang digunakan tim untuk mengelola pekerjaan keamanan. Ini wajib untuk Security Reviewer: Anda tidak dapat menyimpannya tanpa setidaknya satu koneksi alat atau MCP. Vulnerability Scanner dapat disimpan tanpa koneksi tersebut dan mengirimkan temuannya ke daftar Flagged Vulnerabilities.
6. Simpan agen.

Alat dan MCP memungkinkan Anda mengirimkan kerentanan yang ditemukan agen ke kanal Slack, pelacak masalah, atau sistem terhubung lainnya.

Verifikasi

Riwayat Automations menampilkan kapan setiap agen berjalan, alat apa yang digunakan, bagaimana prosesnya berakhir, dan berapa lama waktu yang dibutuhkan. Untuk pemeriksaan Security Reviewer yang berjalan di hosting Cursor, lihat Recent Runs di halaman Security Agents: Anda dapat membuka sesi peninjauan dalam mode hanya-baca.

Temuan Vulnerability Scanner muncul di Flagged Vulnerabilities pada halaman Security Agents dan halaman setiap pemindai. Daftar ini dikelompokkan berdasarkan repositori; Anda dapat memfilter temuan berdasarkan pemindai, status, umpan balik, dan tingkat keparahan. Setiap temuan memiliki tindakan Fix in Cursor yang memulai cloud agent untuk memperbaiki kerentanan.

Kesalahan

Jika Security Reviewer tidak dapat disimpan, periksa apakah setidaknya satu koneksi alat atau MCP telah dikonfigurasi: penyimpanan akan gagal tanpa koneksi tersebut.

Siapa yang membayar pemeriksaan: penggunaan Security Agents#

Menurut dokumentasi, penggunaan Security Agents dipotong dari kumpulan penggunaan tim. Agen berjalan menggunakan akun layanan bersama tim, sehingga tidak mengurangi jatah penggunaan anggota secara individual.

Halaman dokumentasi tidak menyebutkan harga atau paket mana yang menyertakan Security Agents. Sebelum mengaktifkannya di semua repositori, periksa ketersediaannya di akun Anda dan lihat berapa banyak penggunaan kumpulan tim yang terserap oleh proses pertama.

Perbedaan Security Reviewer dari /review-security dan Bugbot#

Mekanisme ini memiliki tujuan serupa, tetapi dimulai dengan cara yang berbeda.

/review-security dan /review dapat dijalankan secara manual dari agen sebelum mengirimkan kode ke repositori jarak jauh. Secara default, /review-security memeriksa perubahan pada branch terhadap branch dasar, termasuk perubahan yang sudah disimpan dalam commit maupun perubahan yang belum di-commit. Anda dapat memintanya membatasi peninjauan hanya pada perubahan yang belum di-commit. Perintah ini tersedia di Cursor 3.7 dan versi lebih baru, di cursor.com/agents, dan di Cursor CLI. Anda menentukan kapan peninjauan dijalankan.

Security Reviewer adalah agen di Automations yang berjalan otomatis saat dipicu oleh Git.

Bugbot adalah produk Cursor terpisah untuk peninjauan PR. Menurut dokumentasi, Bugbot mencari bug, kerentanan, dan masalah kualitas kode, lalu memberikan komentar berisi penjelasan dan saran perbaikan. Bugbot berjalan otomatis setiap kali PR diperbarui, atau secara manual.

Security Agents dirancang untuk pemeriksaan keamanan: agen ini memiliki pemeriksaan bawaan, pemindaian terjadwal di seluruh repositori, serta daftar Flagged Vulnerabilities dengan status dan tingkat keparahan. Dokumentasi tidak membandingkan kualitas temuan Bugbot dan Security Agents.

Rollouts: pemantauan setelah deployment#

Fungsi Rollouts

Saat pull request dibuka, Rollouts membaca perubahan dan sistem yang terdampak, lalu membuat rencana pemantauan deployment. Rencana tersebut mencantumkan risiko yang diidentifikasi, dampak perubahan yang diharapkan, sinyal yang perlu diperiksa, serta kekurangan dalam pengumpulan data yang menyulitkan verifikasi perubahan. Di GitHub, GitLab.com, dan Bitbucket Cloud, rencana tersebut muncul sebagai komentar PR.

Rollouts menjalankan pemeriksaan saat peristiwa deployment terjadi dan membandingkan rencana dengan log, metrik, dan trace. Setiap lingkungan dilacak secara terpisah: perubahan dapat lolos pemeriksaan di lingkungan pengujian, tetapi tetap ditandai sebagai bermasalah di lingkungan produksi. Pemeriksaan berjalan saat deployment, lalu setelah 20 menit, 1 jam, 1 hari, dan 3 hari.

Jika ditemukan regresi, Rollouts mengidentifikasi perubahan yang diduga menyebabkannya, membuka issue, dan memberi tahu penulisnya. Di halaman issue, tombol Fix issue memulai cloud agent. Rollouts tidak menggabungkan, membatalkan, atau melakukan rollback perubahan sendiri.

Cara mengonfigurasi Rollouts

1. Di Automations, klik Enable pada kartu Rollouts di bagian From Cursor.
2. Pilih repositori yang akan dipantau. Anda dapat menentukan hingga 200 repositori di pengaturan.
3. Konfigurasikan peristiwa deployment: Rollouts perlu mengetahui kapan setiap deployment produksi dimulai dan berakhir. Untuk melakukannya, buat kunci API Cursor dan simpan di secret sistem build (CI) Anda sebagai CURSOR_API_KEY. Setelah itu, ada dua pilihan: tambahkan panggilan secara manual ke proses deployment (perintahnya ada di bagian Send deployment events pada dokumentasi Rollouts), atau minta agen penyiapan melakukannya. Agen akan membuka PR yang berisi panggilan tersebut. Gabungkan PR itu untuk menyelesaikan penyiapan.
4. Hubungkan telemetri, seperti Datadog. Setidaknya satu alat yang terhubung diperlukan.
5. Pilih cara penulis PR menerima notifikasi.

Batasan yang mudah terlewat

Tanpa telemetri yang terhubung, perubahan tetap berstatus tertunda dan Rollouts tidak dapat mendeteksi masalah. Jika proyek belum memiliki Datadog atau sistem pemantauan serupa, Anda perlu menyiapkannya terlebih dahulu.

Notifikasi Slack tidak tersedia dalam Privacy Mode. Administrator tim harus menambahkan Rollouts ke Slack terlebih dahulu.

Siapa yang memerlukan ini, dan siapa yang sebaiknya menunggu#

Jika Anda bekerja sendiri, periksa apakah Security Agents tersedia di akun Anda sebelum mengaktifkannya: penggunaannya berasal dari kumpulan tim, dan halaman dokumentasi tidak mencantumkan paket yang memenuhi syarat. Anda sendiri yang memulai perbaikan kerentanan yang ditemukan pemindai: Fix in Cursor membuka cloud agent untuk bekerja di repositori.

Menurut dokumentasi, Rollouts hanya tersedia pada paket Teams dan Enterprise. Jika Anda belum memiliki sistem pemantauan seperti Datadog, mulailah dengan menyiapkannya, lalu hubungkan Rollouts.

Untuk informasi lebih lanjut tentang paket Cursor, lihat apa saja yang termasuk dalam langganan Cursor. Jika koordinasi tugas antaragen sudah dikonfigurasi di Cursor, lihat Cursor Projects: cara koordinator mendelegasikan tugas.

Ringkasan#

Security Reviewer meninjau PR sebelum penggabungan; Vulnerability Scanner memindai seluruh repositori sesuai jadwal. Penggunaan kedua jenis agen dipotong dari kumpulan tim. Rollouts memantau perubahan setelah deployment, tersedia pada paket Teams dan Enterprise, serta memerlukan setidaknya satu sumber telemetri yang terhubung.

Kenali Ailoot.