Security Agents ir Rollouts programoje Cursor: saugumo patikros ir leidimų stebėsena

Programoje Cursor Automations galite sukonfigūruoti kodo saugumo patikras ir leidimų stebėseną. Security Agents peržiūri pull request (PR) ir pagal tvarkaraštį skenuoja visą saugyklą. Rollouts stebi pakeitimą po diegimo, veikia pagal Teams ir Enterprise planus, jam reikalingi prijungti telemetrijos duomenys: žurnalai, metrikos ir sekimo duomenys.

Toliau pateikiami sąrankos veiksmai, pagrįsti oficialiais Cursor dokumentais, paaiškinama, kaip apskaitomas Security Agents naudojimas, kokie taikomi planų apribojimai ir kuo jie skiriasi nuo Bugbot ir rankinės komandos /review-security.

Informacijos apie Ailoot naudojimą rasite dokumentuose.

Kas yra Security Agents programoje Cursor#

Agento tipas nulemia, kaip pradedama patikra:

• Security Reviewer paleidžiamas dėl Git įvykių: pull request arba merge request.
• Vulnerability Scanner veikia pagal cron tvarkaraštį ir skenuoja kodų bazę nepriklausomai nuo PR veiklos.

Cron leidžia suplanuoti pasikartojančius skenerio paleidimus.

Kaip įjungti Security Reviewer ir Vulnerability Scanner#

Veiksmai

1. Atidarykite Security Agents skiltį Automations (ši skiltis aprašyta Security Agents dokumentuose).
2. Pasirinkite agento tipą: Security Reviewer (PR peržiūra) arba Vulnerability Scanner (suplanuotas skenavimas).
3. Jei pasirinkote Security Reviewer, sukonfigūruokite Git aktyviklį: pull request arba merge request įvykį. Jei pasirinkote Vulnerability Scanner, sukonfigūruokite cron tvarkaraštį.
4. Įjunkite arba išjunkite integruotas saugumo patikras: jas turi abu agentų tipai, o jų rinkinį galite pritaikyti pagal užduotį.
5. Prijunkite įrankį arba MCP serverį: taip agentas galės prisijungti prie sistemų, kuriose komanda tvarko saugumo užduotis. Security Reviewer tai būtina: jo negalima išsaugoti neprijungus bent vieno įrankio arba MCP. Vulnerability Scanner galima išsaugoti ir be jų; savo radinius jis siunčia į sąrašą Flagged Vulnerabilities.
6. Išsaugokite agentą.

Įrankiai ir MCP leidžia siųsti agento rastus pažeidžiamumus į Slack kanalą, problemų sekimo sistemą ar kitą prijungtą sistemą.

Patikra

Automations istorijoje rodoma, kada kiekvienas agentas veikė, kokius įrankius naudojo, kuo baigėsi paleidimas ir kiek laiko jis truko. Jei Security Reviewer patikra buvo vykdoma Cursor priegloboje, Security Agents puslapyje ieškokite skilties Recent Runs: peržiūros sesiją galite atidaryti tik skaitymo režimu.

Vulnerability Scanner radiniai rodomi Flagged Vulnerabilities sąraše Security Agents puslapyje ir kiekvieno skenerio puslapyje. Sąrašas grupuojamas pagal saugyklą; radinius galite filtruoti pagal skenerį, būseną, atsiliepimą ir rimtumą. Prie kiekvieno radinio yra veiksmas Fix in Cursor, paleidžiantis debesijos agentą pažeidžiamumui ištaisyti.

Klaidos

Jei Security Reviewer nepavyksta išsaugoti, patikrinkite, ar sukonfigūruotas bent vienas įrankio arba MCP ryšys: be jo išsaugoti nepavyks.

Kas moka už patikras: Security Agents naudojimas#

Dokumentuose nurodoma, kad Security Agents naudojimas atimamas iš bendro komandos naudojimo limito. Agentai veikia naudodami bendrą komandos paslaugos paskyrą, todėl nenaudoja atskiro komandos nario limito.

Dokumentų puslapyje nenurodytos kainos ar planai, kuriuose veikia Security Agents. Prieš įjungdami juos visose saugyklose patikrinkite, ar jie prieinami jūsų paskyroje, ir įvertinkite, kiek komandos limito sunaudoja pirmieji paleidimai.

Kuo Security Reviewer skiriasi nuo /review-security ir Bugbot#

Šių priemonių tikslai panašūs, tačiau jos paleidžiamos skirtingai.

/review-security ir /review galima paleisti rankiniu būdu iš agento prieš išsiunčiant kodą į nuotolinę saugyklą. Pagal numatytuosius nustatymus /review-security tikrina šakos pakeitimus, palyginti su pagrindine šaka, įskaitant ir pakeitimus, jau įrašytus į commitus, ir dar necommitintus pakeitimus. Galite paprašyti, kad peržiūra apsiribotų pastaraisiais. Šios komandos pasiekiamos nuo Cursor 3.7 versijos, svetainėje cursor.com/agents ir Cursor CLI. Jūs nusprendžiate, kada paleisti peržiūrą.

Security Reviewer – Automations agentas, kuris automatiškai paleidžiamas pagal Git aktyviklį.

Bugbot – atskiras Cursor produktas, skirtas PR peržiūrai. Dokumentuose nurodoma, kad jis ieško klaidų, pažeidžiamumų ir kodo kokybės problemų, palikdamas komentarus su paaiškinimais ir siūlomais pataisymais. Jis paleidžiamas automatiškai kaskart atnaujinus PR arba rankiniu būdu.

Security Agents skirti saugumo patikroms: jie turi integruotas patikras, suplanuotus visos saugyklos skenavimus ir Flagged Vulnerabilities sąrašą su būsenomis bei rimtumo lygiais. Dokumentuose nelyginama Bugbot ir Security Agents radinių kokybė.

Rollouts: stebėsena po diegimo#

Ką daro Rollouts

Atidarius pull request, Rollouts perskaito pakeitimus ir paveiktas sistemas bei sukuria diegimo stebėsenos planą. Plane išvardijamos nustatytos rizikos, numatomas pakeitimo poveikis, tikrintini signalai ir duomenų rinkimo spragos, dėl kurių pakeitimą sunku patikrinti. GitHub, GitLab.com ir Bitbucket Cloud platformose planas pateikiamas kaip PR komentaras.

Rollouts vykdo patikras per diegimo įvykius ir lygina planą su žurnalais, metrikomis bei sekimo duomenimis. Kiekviena aplinka stebima atskirai: pakeitimas gali sėkmingai praeiti patikras testavimo aplinkoje, bet vis tiek būti pažymėtas kaip keliantis problemų gamybinėje aplinkoje. Patikros vykdomos diegimo metu, tada po 20 minučių, 1 valandos, 1 dienos ir 3 dienų.

Aptikęs regresiją, Rollouts nustato pakeitimą, kuris, jo manymu, ją sukėlė, sukuria problemą ir praneša autoriui. Problemos puslapyje esantis mygtukas Fix issue paleidžia debesijos agentą. Pats Rollouts pakeitimų nesujungia, neatkuria ir neatšaukia.

Kaip sukonfigūruoti Rollouts

1. Automations spustelėkite Enable Rollouts kortelėje, esančioje skiltyje From Cursor.
2. Pasirinkite stebimas saugyklas. Nustatymuose galite nurodyti iki 200 saugyklų.
3. Sukonfigūruokite diegimo įvykius: Rollouts turi žinoti, kada prasideda ir baigiasi kiekvienas diegimas į gamybinę aplinką. Tam sukurkite Cursor API raktą ir išsaugokite jį savo komponavimo sistemos (CI) paslaptyse kaip CURSOR_API_KEY. Tada galimi du variantai: rankiniu būdu įtraukti iškvietimus į diegimo procesą (komandos pateiktos Rollouts dokumentų skiltyje Send deployment events) arba paprašyti sąrankos agento tai padaryti. Agentas atidarys PR su šiais iškvietimais. Užbaikite sąranką sujungdami tą PR.
4. Prijunkite telemetriją, pavyzdžiui, Datadog. Reikalingas bent vienas prijungtas įrankis.
5. Pasirinkite, kaip PR autoriai gaus pranešimus.

Lengvai pražiūrimi apribojimai

Jei telemetrija neprijungta, pakeitimai lieka laukiantys, o Rollouts negali aptikti problemų. Jei projekte dar nėra Datadog ar panašios stebėsenos sistemos, pirmiausia reikės ją įdiegti.

Slack pranešimai negalimi esant Privacy Mode. Pirmiausia komandos administratorius turi pridėti Rollouts prie Slack.

Kam tai reikalinga, o kam verta palaukti#

Jei dirbate vienas, prieš įjungdami Security Agents patikrinkite, ar jie prieinami jūsų paskyroje: naudojimas skaičiuojamas iš komandos limito, o dokumentų puslapyje nenurodyta, kuriuose planuose jie pasiekiami. Skenerio rastą pažeidžiamumą taisyti pradedate patys: Fix in Cursor atidaro debesijos agentą, kuris dirbs saugykloje.

Dokumentuose nurodoma, kad Rollouts veikia tik Teams ir Enterprise planuose. Jei dar neturite tokios stebėsenos sistemos kaip Datadog, pirmiausia ją įsidiekite, o tada prijunkite Rollouts.

Daugiau apie Cursor planus skaitykite straipsnyje ką apima Cursor prenumerata. Jei Cursor jau sukonfigūravote agentų užduočių koordinavimą, skaitykite Cursor Projects: kaip koordinatorius deleguoja užduotis.

Santrauka#

Security Reviewer peržiūri PR prieš jį sujungiant; Vulnerability Scanner pagal tvarkaraštį skenuoja visą saugyklą. Abiejų tipų agentų naudojimas atimamas iš komandos limito. Rollouts stebi pakeitimą po diegimo, veikia Teams ir Enterprise planuose ir jam reikia bent vieno prijungto telemetrijos šaltinio.

Susipažinkite su Ailoot.