CursorのSecurity AgentsとRollouts：セキュリティチェックとリリース監視

Cursor Automationsでは、コードのセキュリティチェックとリリース監視を設定できます。Security Agentsはプルリクエスト（PR）をレビューし、スケジュールに従ってリポジトリ全体をスキャンします。Rolloutsはデプロイ後の変更を監視します。TeamsおよびEnterpriseプランで利用でき、ログ、メトリクス、トレースのテレメトリ接続が必要です。

以下では、Cursorの公式ドキュメントに基づく設定手順、Security Agentsの使用量の計上方法、プランによる制限、Bugbotおよび手動の/review-securityコマンドとの違いを説明します。

Ailootの利用方法については、ドキュメントをご覧ください。

CursorのSecurity Agentsとは#

エージェントの種類によって、チェックの開始方法が異なります。

• Security Reviewerは、プルリクエストまたはマージリクエストというGitイベントで起動します。
• Vulnerability Scannerはcronスケジュールで実行され、PRの活動とは関係なくコードベースをスキャンします。

cronを使うと、スキャナーの定期実行をスケジュールできます。

Security ReviewerとVulnerability Scannerを有効にする方法#

手順

1. AutomationsでSecurity Agentsを開きます（このセクションはSecurity Agentsのドキュメントで説明されています）。
2. エージェントの種類を選択します。Security Reviewer（PRレビュー）またはVulnerability Scanner（スケジュールされたスキャン）を選びます。
3. Security Reviewerでは、プルリクエストまたはマージリクエストのイベントというGitトリガーを設定します。Vulnerability Scannerでは、cronスケジュールを設定します。
4. 組み込みのセキュリティチェックを有効または無効にします。どちらのエージェントにもこれらのチェックがあり、タスクに合わせて対象を調整できます。
5. ツールまたはMCPサーバーを接続します。これにより、エージェントがチームのセキュリティ業務を管理するシステムに接続できます。Security Reviewerでは必須です。ツールまたはMCP接続が少なくとも1つなければ保存できません。Vulnerability Scannerは接続なしでも保存でき、検出結果はFlagged Vulnerabilitiesリストに送信されます。
6. エージェントを保存します。

ツールとMCPを使うと、エージェントが見つけた脆弱性をSlackチャンネル、課題トラッカー、その他の接続済みシステムに送信できます。

確認

Automationsの履歴には、各エージェントの実行時刻、使用したツール、実行結果、所要時間が表示されます。Cursorのホスティング環境で実行されたSecurity Reviewerのチェックは、Security AgentsページのRecent Runsで確認できます。レビューセッションは読み取り専用モードで開けます。

Vulnerability Scannerの検出結果は、Security Agentsページと各スキャナーのページにあるFlagged Vulnerabilitiesに表示されます。リストはリポジトリごとにグループ化されており、スキャナー、ステータス、フィードバック、重大度で絞り込めます。それぞれにFix in Cursorアクションがあり、脆弱性を修正するクラウドエージェントを起動できます。

エラー

Security Reviewerを保存できない場合は、ツールまたはMCP接続が少なくとも1つ設定されているか確認してください。接続がないと保存に失敗します。

チェックの費用負担：Security Agentsの使用量#

ドキュメントによると、Security Agentsの使用量はチームの使用量プールから差し引かれます。エージェントはチームの共有サービスアカウントで実行されるため、個々のメンバーの使用枠は消費しません。

ドキュメントのページには、料金やSecurity Agentsを利用できるプランが記載されていません。すべてのリポジトリで有効にする前に、アカウントで利用できるかを確認し、最初の実行でチームプールからどれだけ消費されるかを確認してください。

Security Reviewerと/review-security、Bugbotとの違い#

これらの仕組みは似た目的を持っていますが、開始方法が異なります。

/review-securityと/reviewは、コードをリモートリポジトリにプッシュする前に、エージェントから手動で実行できます。デフォルトでは、/review-securityはブランチの変更をベースブランチと比較してチェックします。コミットに保存済みの変更と、まだコミットしていない変更の両方が対象です。後者だけをレビューするよう依頼することもできます。このコマンドはCursor 3.7以降、cursor.com/agents、およびCursor CLIで利用できます。レビューを実行するタイミングは自分で決めます。

Security ReviewerはAutomationsのエージェントで、Gitトリガーによって自動実行されます。

BugbotはPRレビュー用の別のCursor製品です。ドキュメントによると、バグ、脆弱性、コード品質の問題を探し、説明と修正案をコメントとして残します。PRが更新されるたびに自動実行されるほか、手動でも実行できます。

Security Agentsはセキュリティチェック向けに設計されています。組み込みチェック、リポジトリ全体のスケジュールスキャン、ステータスと重大度を含むFlagged Vulnerabilitiesリストを備えています。ドキュメントでは、BugbotとSecurity Agentsの検出結果の品質は比較されていません。

Rollouts：デプロイ後の監視#

Rolloutsの機能

プルリクエストが開かれると、Rolloutsは変更と影響を受けるシステムを読み取り、デプロイ監視計画を作成します。計画には、特定したリスク、変更によって予想される影響、確認するシグナル、変更の検証を難しくするデータ収集上の不足が記載されます。GitHub、GitLab.com、Bitbucket Cloudでは、この計画がPRコメントとして表示されます。

Rolloutsはデプロイイベント時にチェックを実行し、計画とログ、メトリクス、トレースを照合します。各環境は個別に追跡されます。テスト環境ではチェックに合格した変更でも、本番環境では問題としてフラグが付くことがあります。チェックはデプロイ時に実行され、その後20分、1時間、1日、3日経過時にも実行されます。

回帰が見つかると、Rolloutsは原因と疑われる変更を特定し、課題を作成して作成者に通知します。課題ページのFix issueボタンを押すと、クラウドエージェントが起動します。Rollouts自体が変更をマージ、リバート、ロールバックすることはありません。

Rolloutsの設定方法

1. Automationsで、From CursorにあるRolloutsカードのEnableをクリックします。
2. 監視するリポジトリを選択します。設定では最大200個のリポジトリを指定できます。
3. デプロイイベントを設定します。Rolloutsは各本番デプロイの開始と終了を把握する必要があります。そのためにCursor APIキーを作成し、ビルドシステム（CI）のシークレットにCURSOR_API_KEYとして保存します。方法は2つあります。デプロイプロセスに手動で呼び出しを追加する（コマンドはRolloutsのドキュメントの「Send deployment events」セクションにあります）か、セットアップエージェントに依頼します。エージェントは呼び出しを含むPRを作成します。設定を完了するには、そのPRをマージします。
4. Datadogなどのテレメトリを接続します。ツールを少なくとも1つ接続する必要があります。
5. PRの作成者が通知を受け取る方法を選択します。

見落としやすい制限

テレメトリが接続されていない場合、変更は保留のままとなり、Rolloutsは問題を検出できません。プロジェクトにDatadogなどの監視システムがまだない場合は、まずそのシステムを用意する必要があります。

Privacy ModeではSlack通知を利用できません。チーム管理者が事前にRolloutsをSlackに追加する必要があります。

対象となる人、待つべき人#

個人で作業している場合は、有効にする前にアカウントでSecurity Agentsを利用できるか確認してください。使用量はチームプールから差し引かれ、ドキュメントのページには対象プランが記載されていません。スキャナーが見つけた脆弱性の修正は自分で開始します。Fix in Cursorを押すと、リポジトリで作業するクラウドエージェントが開きます。

ドキュメントによると、RolloutsはTeamsおよびEnterpriseプランでのみ利用できます。Datadogなどの監視システムをまだ導入していない場合は、まずそれを導入し、その後Rolloutsを接続してください。

Cursorのプランについて詳しくは、Cursorのサブスクリプションに含まれる内容をご覧ください。Cursorでエージェント間のタスク調整をすでに設定している場合は、Cursor Projects：コーディネーターがタスクを委任する方法をご覧ください。

まとめ#

Security ReviewerはPRをマージ前にレビューし、Vulnerability Scannerはスケジュールに従ってリポジトリ全体をスキャンします。どちらのエージェントも使用量はチームプールから差し引かれます。Rolloutsはデプロイ後の変更を監視し、TeamsおよびEnterpriseで利用でき、テレメトリソースを少なくとも1つ接続する必要があります。

Ailootについて知りましょう。