# CursorのSecurity AgentsとRollouts：セキュリティチェックとリリース監視 > Cursor AutomationsでSecurity Reviewer、Vulnerability Scanner、Rolloutsを有効にする方法：トリガー、チームプールからの使用量、プラン、Bugbotとの違い。 Source: https://ailoot.ai/blog/ja/cursor-rollouts-security-agents/ Canonical: https://ailoot.ai/blog/ja/cursor-rollouts-security-agents/ Language: ja Publisher: Ailoot (https://ailoot.ai/) Translation: guide-089 Revision: sha256-966e660121bb0fbf3a0f623a7e78d00021add4fd516132fdf8458ab376d82994 Cursor Automationsでは、コードのセキュリティチェックとリリース監視を設定できます。Security Agentsはプルリクエスト（PR）をレビューし、スケジュールに従ってリポジトリ全体をスキャンします。Rolloutsはデプロイ後の変更を監視します。TeamsおよびEnterpriseプランで利用でき、ログ、メトリクス、トレースのテレメトリ接続が必要です。 以下では、Cursorの公式ドキュメントに基づく設定手順、Security Agentsの使用量の計上方法、プランによる制限、Bugbotおよび手動の`/review-security`コマンドとの違いを説明します。 Ailootの利用方法については、[ドキュメント](https://ailoot.ai/docs/)をご覧ください。 ## CursorのSecurity Agentsとは
重要なポイント Security AgentsはAutomationsで管理される2種類のエージェントです。Security Reviewerはプルリクエストがマージされる前にレビューします。Vulnerability Scannerはスケジュールに従ってコードベースをスキャンし、既存の脆弱性、長く残っている問題、PRレビューで見落とされた項目を探します。どちらの種類もCloud Agentsを必要とし、そこで実行されます。ただし、プルリクエストイベントで起動するチームのSecurity Reviewerは例外で、クラウドエージェントではなくCursorのホスティング環境でレビューを実行します。使用量はチームの使用量プールから差し引かれます。
エージェントの種類によって、チェックの開始方法が異なります。 - **Security Reviewer**は、プルリクエストまたはマージリクエストというGitイベントで起動します。 - **Vulnerability Scanner**はcronスケジュールで実行され、PRの活動とは関係なくコードベースをスキャンします。 cronを使うと、スキャナーの定期実行をスケジュールできます。 ## Security ReviewerとVulnerability Scannerを有効にする方法 ### 手順 1. AutomationsでSecurity Agentsを開きます（このセクションは[Security Agentsのドキュメント](https://cursor.com/docs/security-agents.md)で説明されています）。 2. エージェントの種類を選択します。Security Reviewer（PRレビュー）またはVulnerability Scanner（スケジュールされたスキャン）を選びます。 3. Security Reviewerでは、プルリクエストまたはマージリクエストのイベントというGitトリガーを設定します。Vulnerability Scannerでは、cronスケジュールを設定します。 4. 組み込みのセキュリティチェックを有効または無効にします。どちらのエージェントにもこれらのチェックがあり、タスクに合わせて対象を調整できます。 5. ツールまたはMCPサーバーを接続します。これにより、エージェントがチームのセキュリティ業務を管理するシステムに接続できます。Security Reviewerでは必須です。ツールまたはMCP接続が少なくとも1つなければ保存できません。Vulnerability Scannerは接続なしでも保存でき、検出結果はFlagged Vulnerabilitiesリストに送信されます。 6. エージェントを保存します。 ツールとMCPを使うと、エージェントが見つけた脆弱性をSlackチャンネル、課題トラッカー、その他の接続済みシステムに送信できます。 ### 確認 Automationsの履歴には、各エージェントの実行時刻、使用したツール、実行結果、所要時間が表示されます。Cursorのホスティング環境で実行されたSecurity Reviewerのチェックは、Security Agentsページの**Recent Runs**で確認できます。レビューセッションは読み取り専用モードで開けます。 Vulnerability Scannerの検出結果は、Security Agentsページと各スキャナーのページにある**Flagged Vulnerabilities**に表示されます。リストはリポジトリごとにグループ化されており、スキャナー、ステータス、フィードバック、重大度で絞り込めます。それぞれに**Fix in Cursor**アクションがあり、脆弱性を修正するクラウドエージェントを起動できます。 ### エラー Security Reviewerを保存できない場合は、ツールまたはMCP接続が少なくとも1つ設定されているか確認してください。接続がないと保存に失敗します。 ## チェックの費用負担：Security Agentsの使用量 ドキュメントによると、Security Agentsの使用量はチームの使用量プールから差し引かれます。エージェントはチームの共有サービスアカウントで実行されるため、個々のメンバーの使用枠は消費しません。 ドキュメントのページには、料金やSecurity Agentsを利用できるプランが記載されていません。すべてのリポジトリで有効にする前に、アカウントで利用できるかを確認し、最初の実行でチームプールからどれだけ消費されるかを確認してください。 ## Security Reviewerと/review-security、Bugbotとの違い これらの仕組みは似た目的を持っていますが、開始方法が異なります。 `/review-security`と`/review`は、コードをリモートリポジトリにプッシュする前に、エージェントから手動で実行できます。デフォルトでは、`/review-security`はブランチの変更をベースブランチと比較してチェックします。コミットに保存済みの変更と、まだコミットしていない変更の両方が対象です。後者だけをレビューするよう依頼することもできます。このコマンドはCursor 3.7以降、cursor.com/agents、およびCursor CLIで利用できます。レビューを実行するタイミングは自分で決めます。 **Security Reviewer**はAutomationsのエージェントで、Gitトリガーによって自動実行されます。 **Bugbot**はPRレビュー用の別のCursor製品です。ドキュメントによると、バグ、脆弱性、コード品質の問題を探し、説明と修正案をコメントとして残します。PRが更新されるたびに自動実行されるほか、手動でも実行できます。 Security Agentsはセキュリティチェック向けに設計されています。組み込みチェック、リポジトリ全体のスケジュールスキャン、ステータスと重大度を含むFlagged Vulnerabilitiesリストを備えています。ドキュメントでは、BugbotとSecurity Agentsの検出結果の品質は比較されていません。 ## Rollouts：デプロイ後の監視
重要なポイント Rollouts（TeamsおよびEnterpriseプランのみ）は、PRが開かれると監視計画を作成し、デプロイ後にテレメトリ（ログ、メトリクス、トレース）と照らして変更を確認します。確認はデプロイ直後、その後20分、1時間、1日、3日経過時に行われます。回帰、つまり変更後の悪化が見つかると課題を作成し、ボタンをクリックして修正用のクラウドエージェントを起動できます。Rollouts自体は変更をマージ、リバート、ロールバックしません。テレメトリが接続されていない場合、変更は保留のままとなり、Rolloutsは問題を検出できません。
### Rolloutsの機能 プルリクエストが開かれると、Rolloutsは変更と影響を受けるシステムを読み取り、デプロイ監視計画を作成します。計画には、特定したリスク、変更によって予想される影響、確認するシグナル、変更の検証を難しくするデータ収集上の不足が記載されます。GitHub、GitLab.com、Bitbucket Cloudでは、この計画がPRコメントとして表示されます。 Rolloutsはデプロイイベント時にチェックを実行し、計画とログ、メトリクス、トレースを照合します。各環境は個別に追跡されます。テスト環境ではチェックに合格した変更でも、本番環境では問題としてフラグが付くことがあります。チェックはデプロイ時に実行され、その後20分、1時間、1日、3日経過時にも実行されます。 回帰が見つかると、Rolloutsは原因と疑われる変更を特定し、課題を作成して作成者に通知します。課題ページの**Fix issue**ボタンを押すと、クラウドエージェントが起動します。Rollouts自体が変更をマージ、リバート、ロールバックすることはありません。 ### Rolloutsの設定方法 1. Automationsで、**From Cursor**にあるRolloutsカードの**Enable**をクリックします。 2. 監視するリポジトリを選択します。設定では最大200個のリポジトリを指定できます。 3. デプロイイベントを設定します。Rolloutsは各本番デプロイの開始と終了を把握する必要があります。そのためにCursor APIキーを作成し、ビルドシステム（CI）のシークレットに`CURSOR_API_KEY`として保存します。方法は2つあります。デプロイプロセスに手動で呼び出しを追加する（コマンドは[Rolloutsのドキュメント](https://cursor.com/docs/rollouts.md)の「Send deployment events」セクションにあります）か、セットアップエージェントに依頼します。エージェントは呼び出しを含むPRを作成します。設定を完了するには、そのPRをマージします。 4. Datadogなどのテレメトリを接続します。ツールを少なくとも1つ接続する必要があります。 5. PRの作成者が通知を受け取る方法を選択します。 ### 見落としやすい制限 テレメトリが接続されていない場合、変更は保留のままとなり、Rolloutsは問題を検出できません。プロジェクトにDatadogなどの監視システムがまだない場合は、まずそのシステムを用意する必要があります。 Privacy ModeではSlack通知を利用できません。チーム管理者が事前にRolloutsをSlackに追加する必要があります。 ## 対象となる人、待つべき人 個人で作業している場合は、有効にする前にアカウントでSecurity Agentsを利用できるか確認してください。使用量はチームプールから差し引かれ、ドキュメントのページには対象プランが記載されていません。スキャナーが見つけた脆弱性の修正は自分で開始します。**Fix in Cursor**を押すと、リポジトリで作業するクラウドエージェントが開きます。 ドキュメントによると、RolloutsはTeamsおよびEnterpriseプランでのみ利用できます。Datadogなどの監視システムをまだ導入していない場合は、まずそれを導入し、その後Rolloutsを接続してください。 Cursorのプランについて詳しくは、[Cursorのサブスクリプションに含まれる内容](https://ailoot.ai/blog/ja/cursor-subscription/)をご覧ください。Cursorでエージェント間のタスク調整をすでに設定している場合は、[Cursor Projects：コーディネーターがタスクを委任する方法](https://ailoot.ai/blog/ja/cursor-projects-coordinator-agents/)をご覧ください。 ## まとめ Security ReviewerはPRをマージ前にレビューし、Vulnerability Scannerはスケジュールに従ってリポジトリ全体をスキャンします。どちらのエージェントも使用量はチームプールから差し引かれます。Rolloutsはデプロイ後の変更を監視し、TeamsおよびEnterpriseで利用でき、テレメトリソースを少なくとも1つ接続する必要があります。
### 出典 - Cursor Docs, Security Agents: - Cursor Docs, Rollouts: - Cursor Docs, Bugbot:
[Ailoot](https://ailoot.ai/)について知りましょう。 ## CursorのSecurity AgentsとRollouts：セキュリティチェックとリリース監視：よくある質問 ### Security Reviewerを保存できない場合は？ ここで紹介した設定では、Security Reviewerに少なくとも1つのツールかMCPサーバーの接続が必要です。保存前に接続を確認してください。Vulnerability Scannerは、その接続なしでもFlagged Vulnerabilitiesへ結果を出せます。 ### Rolloutsは不具合のあるデプロイを自動でロールバックしますか？ いいえ。変更と接続済みの観測データを比較し、劣化を検出するとissueを作成できます。Fix issueからクラウドエージェントは起動できますが、Rollouts自体はマージ、revert、ロールバックを行いません。 ## Ailoot · 企業とそのプロジェクト群 Ailootは、蓄積した運営経験、幅広い顧客基盤、安定したサービス、継続的なKPI管理を基盤としています。 企業とそのプロジェクト群：数百万の顧客、毎月数十億規模の売上。 Ailootはこの運営経験を、お客様の製品、エージェント、アプリケーション、自動化でAI機能を利用するためのAPIアクセスに活かしています。