Cursor의 Security Agents와 Rollouts: 보안 검사 및 릴리스 모니터링

Markdown

Cursor Automations에서 Security Reviewer, Vulnerability Scanner 및 Rollouts를 활성화하는 방법: 트리거, 팀 풀에서의 사용량 차감, 플랜, Bugbot과의 차이.

전체 글 읽기

Cursor Automations에서 코드 보안 검사와 릴리스 모니터링을 구성할 수 있습니다. Security Agents는 풀 리퀘스트(PR)를 검토하고 일정에 따라 전체 저장소를 스캔합니다. Rollouts는 배포 후 변경 사항을 모니터링하며 Teams 및 Enterprise 플랜에서 사용할 수 있고, 연결된 텔레메트리(로그, 메트릭, 트레이스)가 필요합니다.

아래에서는 Cursor 공식 문서를 바탕으로 한 설정 단계, Security Agents 사용량 계산 방식, 플랜 제한 사항, Bugbot 및 수동 /review-security 명령과의 차이를 설명합니다.

Ailoot 사용에 관한 정보는 문서에서 확인할 수 있습니다.

Cursor의 Security Agents란

핵심 내용

Security Agents는 Automations에서 Cursor가 관리하는 두 가지 유형의 에이전트입니다. Security Reviewer는 병합 전에 풀 리퀘스트를 검토합니다. Vulnerability Scanner는 일정에 따라 코드베이스를 스캔해 기존 취약점, 오래된 문제, PR 검토 중 놓친 사항을 찾습니다. 두 유형 모두 Cloud Agents가 필요하며 이를 통해 실행됩니다. 예외적으로 PR 이벤트로 트리거된 팀 Security Reviewer의 검토는 클라우드 에이전트가 아니라 Cursor의 호스팅 환경에서 실행됩니다. 사용량은 팀 사용량 풀에서 차감됩니다.

에이전트 유형에 따라 검사가 시작되는 방식이 달라집니다.

Security Reviewer는 풀 리퀘스트 또는 머지 리퀘스트와 같은 Git 이벤트로 트리거됩니다.
Vulnerability Scanner는 cron 일정에 따라 실행되며 PR 활동과 관계없이 코드베이스를 스캔합니다.

Cron을 사용하면 스캐너의 반복 실행 일정을 설정할 수 있습니다.

Security Reviewer 및 Vulnerability Scanner 활성화 방법

단계

Automations에서 Security Agents를 엽니다(이 섹션은 Security Agents 문서에 설명되어 있습니다).
에이전트 유형을 선택합니다. Security Reviewer(PR 검토) 또는 Vulnerability Scanner(예약된 스캔)를 선택할 수 있습니다.
Security Reviewer의 경우 풀 리퀘스트 또는 머지 리퀘스트 이벤트와 같은 Git 트리거를 구성합니다. Vulnerability Scanner의 경우 cron 일정을 구성합니다.
기본 제공 보안 검사를 활성화하거나 비활성화합니다. 두 에이전트 유형 모두 기본 제공 보안 검사를 제공하며, 작업에 맞게 검사 항목을 조정할 수 있습니다.
도구 또는 MCP 서버를 연결합니다. 이를 통해 에이전트가 팀에서 보안 작업을 관리하는 시스템에 연결할 수 있습니다. Security Reviewer에는 필수이며 도구 또는 MCP 연결을 하나 이상 설정하지 않으면 저장할 수 없습니다. Vulnerability Scanner는 연결 없이도 저장할 수 있으며, 발견 사항을 Flagged Vulnerabilities 목록으로 보냅니다.
에이전트를 저장합니다.

도구와 MCP를 사용하면 에이전트가 발견한 취약점을 Slack 채널, 이슈 트래커 또는 다른 연결된 시스템으로 보낼 수 있습니다.

확인

Automations 기록에서 각 에이전트의 실행 시점, 사용한 도구, 실행 결과, 소요 시간을 확인할 수 있습니다. Cursor의 호스팅 환경에서 실행된 Security Reviewer 검사는 Security Agents 페이지의 Recent Runs에서 확인할 수 있으며, 검토 세션을 읽기 전용 모드로 열 수 있습니다.

Vulnerability Scanner의 발견 사항은 Security Agents 페이지와 각 스캐너 페이지의 Flagged Vulnerabilities에 표시됩니다. 목록은 저장소별로 그룹화되며 스캐너, 상태, 피드백, 심각도를 기준으로 필터링할 수 있습니다. 각 항목에는 취약점을 수정할 클라우드 에이전트를 시작하는 Fix in Cursor 작업이 있습니다.

오류

Security Reviewer를 저장할 수 없다면 도구 또는 MCP 연결이 하나 이상 구성되어 있는지 확인합니다. 연결이 없으면 저장에 실패합니다.

검사 비용은 누가 부담하나: Security Agents 사용량

문서에 따르면 Security Agents 사용량은 팀 사용량 풀에서 차감됩니다. 에이전트는 팀의 공유 서비스 계정으로 실행되므로 개별 구성원의 할당량을 사용하지 않습니다.

문서 페이지에는 가격이나 Security Agents가 포함된 플랜이 명시되어 있지 않습니다. 모든 저장소에서 활성화하기 전에 계정에서 사용할 수 있는지 확인하고 첫 실행이 팀 풀에서 얼마나 차감하는지 살펴보세요.

Security Reviewer와 /review-security 및 Bugbot의 차이

이 기능들은 비슷한 목표를 갖지만 시작되는 방식은 서로 다릅니다.

/review-security와 /review는 원격 저장소에 코드를 푸시하기 전에 에이전트에서 수동으로 실행할 수 있습니다. 기본적으로 /review-security는 브랜치의 변경 사항을 기본 브랜치와 비교해 확인하며, 커밋에 이미 저장된 변경 사항과 아직 커밋되지 않은 변경 사항을 모두 포함합니다. 후자만 검토하도록 요청할 수도 있습니다. 이 명령은 Cursor 3.7 이상, cursor.com/agents 및 Cursor CLI에서 사용할 수 있습니다. 검토를 실행할 시점은 사용자가 정합니다.

Security Reviewer는 Automations의 에이전트로, Git 트리거가 발생하면 자동으로 실행됩니다.

Bugbot은 PR 검토를 위한 별도의 Cursor 제품입니다. 문서에 따르면 버그, 취약점, 코드 품질 문제를 찾고 설명과 수정 제안을 댓글로 남깁니다. PR이 업데이트될 때마다 자동으로 실행되며, 수동으로 실행할 수도 있습니다.

Security Agents는 보안 검사에 맞춰 설계되었습니다. 기본 제공 검사, 전체 저장소의 예약 스캔, 상태 및 심각도 수준이 표시되는 Flagged Vulnerabilities 목록을 제공합니다. 문서에는 Bugbot과 Security Agents의 발견 사항 품질을 비교한 내용이 없습니다.

Rollouts: 배포 후 모니터링

핵심 내용

Rollouts(Teams 및 Enterprise 플랜 전용)는 PR이 열릴 때 모니터링 계획을 작성하고, 배포 후에는 텔레메트리(로그, 메트릭, 트레이스)를 바탕으로 변경 사항을 확인합니다. 확인 시점은 즉시, 20분 후, 1시간 후, 1일 후, 3일 후입니다. 회귀, 즉 변경 이후 성능 저하가 발견되면 이슈를 열며, 버튼을 클릭해 이를 수정할 클라우드 에이전트를 시작할 수 있습니다. Rollouts 자체는 변경 사항을 병합하거나 되돌리지 않습니다. 텔레메트리가 연결되어 있지 않으면 변경 사항은 대기 상태로 남고 Rollouts는 문제를 찾을 수 없습니다.

Rollouts의 기능

풀 리퀘스트가 열리면 Rollouts는 변경 사항과 영향을 받는 시스템을 읽고 배포 모니터링 계획을 작성합니다. 계획에는 식별된 위험, 변경 사항의 예상 효과, 확인할 신호, 변경 사항을 검증하기 어렵게 만드는 데이터 수집의 공백이 나열됩니다. GitHub, GitLab.com, Bitbucket Cloud에서는 계획이 PR 댓글로 표시됩니다.

Rollouts는 배포 이벤트가 발생할 때 검사를 실행하고 계획을 로그, 메트릭, 트레이스와 비교합니다. 각 환경은 별도로 추적됩니다. 변경 사항이 테스트 환경에서는 검사를 통과했더라도 프로덕션에서는 문제가 있는 것으로 표시될 수 있습니다. 검사는 배포 시점에 실행되고, 이후 20분, 1시간, 1일, 3일 후에 실행됩니다.

회귀가 발견되면 Rollouts는 원인으로 의심되는 변경 사항을 식별하고 이슈를 열어 작성자에게 알립니다. 이슈 페이지에서 Fix issue 버튼을 누르면 클라우드 에이전트가 시작됩니다. Rollouts는 자체적으로 변경 사항을 병합하거나 되돌리지 않습니다.

Rollouts 구성 방법

Automations에서 From Cursor의 Rollouts 카드에 있는 Enable을 클릭합니다.
모니터링할 저장소를 선택합니다. 설정에서 최대 200개의 저장소를 지정할 수 있습니다.
배포 이벤트를 구성합니다. Rollouts가 각 프로덕션 배포의 시작과 종료 시점을 알아야 합니다. 이를 위해 Cursor API 키를 만들고 빌드 시스템(CI)의 시크릿에 CURSOR_API_KEY로 저장합니다. 그런 다음 두 가지 방법을 선택할 수 있습니다. 배포 프로세스에 호출을 직접 추가하거나(명령은 Rollouts 문서의 Send deployment events 섹션에 있습니다), 설정 에이전트에 요청할 수 있습니다. 에이전트가 해당 호출을 포함한 PR을 엽니다. 설정을 완료하려면 이 PR을 병합합니다.
Datadog과 같은 텔레메트리를 연결합니다. 연결된 도구가 하나 이상 필요합니다.
PR 작성자에게 알림을 전달할 방식을 선택합니다.

놓치기 쉬운 제한 사항

텔레메트리가 연결되어 있지 않으면 변경 사항은 대기 상태로 남고 Rollouts는 문제를 감지할 수 없습니다. 프로젝트에 Datadog이나 유사한 모니터링 시스템이 아직 없다면 먼저 이를 준비해야 합니다.

Privacy Mode에서는 Slack 알림을 사용할 수 없습니다. 팀 관리자가 먼저 Rollouts를 Slack에 추가해야 합니다.

누가 사용하면 좋고, 누가 기다려야 하나

혼자 작업한다면 Security Agents를 활성화하기 전에 계정에서 사용할 수 있는지 확인하세요. 사용량은 팀 풀에서 차감되며 문서 페이지에는 대상 플랜이 나와 있지 않습니다. 스캐너가 발견한 취약점의 수정은 직접 시작해야 합니다. Fix in Cursor를 누르면 저장소에서 작업할 클라우드 에이전트가 열립니다.

문서에 따르면 Rollouts는 Teams 및 Enterprise 플랜에서만 사용할 수 있습니다. Datadog과 같은 모니터링 시스템이 아직 없다면 먼저 해당 시스템을 준비하고 나중에 Rollouts를 연결하세요.

Cursor 플랜에 대한 자세한 내용은 Cursor 구독에 포함된 항목을 참조하세요. Cursor에서 에이전트 간 작업 조정을 이미 구성했다면 Cursor Projects: 코디네이터가 작업을 위임하는 방법을 참조하세요.

요약

Security Reviewer는 병합 전에 PR을 검토하고, Vulnerability Scanner는 일정에 따라 전체 저장소를 스캔합니다. 두 에이전트 유형의 사용량은 팀 풀에서 차감됩니다. Rollouts는 배포 후 변경 사항을 모니터링하고 Teams 및 Enterprise에서 사용할 수 있으며, 연결된 텔레메트리 소스가 하나 이상 필요합니다.

출처

Cursor Docs, Security Agents: https://cursor.com/docs/security-agents.md
Cursor Docs, Rollouts: https://cursor.com/docs/rollouts.md
Cursor Docs, Bugbot: https://cursor.com/docs/bugbot.md

Ailoot에 대해 알아보세요.