Security Agents dan Rollouts dalam Cursor: semakan keselamatan dan pemantauan keluaran

Dalam Cursor Automations, anda boleh mengkonfigurasi semakan keselamatan kod dan pemantauan keluaran. Security Agents menyemak pull request (PR) dan mengimbas seluruh repositori mengikut jadual. Rollouts memantau perubahan selepas penggunaan, tersedia pada pelan Teams dan Enterprise, serta memerlukan telemetri yang disambungkan: log, metrik dan surihan.

Di bawah ialah langkah persediaan berdasarkan dokumentasi rasmi Cursor, cara penggunaan Security Agents dikira, sekatan pelan dan perbezaannya daripada Bugbot serta arahan manual /review-security.

Maklumat tentang penggunaan Ailoot tersedia dalam dokumentasi.

Apakah Security Agents dalam Cursor#

Jenis ejen menentukan cara semakan bermula:

• Security Reviewer dicetuskan oleh peristiwa Git: pull request atau merge request.
• Vulnerability Scanner berjalan mengikut jadual cron dan mengimbas pangkalan kod tanpa bergantung pada aktiviti PR.

Cron membolehkan anda menjadualkan imbasan berulang.

Cara mengaktifkan Security Reviewer dan Vulnerability Scanner#

Langkah-langkah

1. Buka Security Agents dalam Automations (bahagian ini diterangkan dalam dokumentasi Security Agents).
2. Pilih jenis ejen: Security Reviewer (semakan PR) atau Vulnerability Scanner (imbasan berjadual).
3. Untuk Security Reviewer, konfigurasikan pencetus Git: peristiwa pull request atau merge request. Untuk Vulnerability Scanner, konfigurasikan jadual cron.
4. Aktifkan atau nyahaktifkan semakan keselamatan terbina dalam: kedua-dua jenis ejen memilikinya dan anda boleh melaraskan set semakan mengikut tugas.
5. Sambungkan alat atau pelayan MCP: sambungan ini membolehkan ejen berhubung dengan sistem yang digunakan oleh pasukan untuk mengurus kerja keselamatan. Sambungan ini wajib untuk Security Reviewer: anda tidak boleh menyimpannya tanpa sekurang-kurangnya satu sambungan alat atau MCP. Vulnerability Scanner boleh disimpan tanpa sambungan tersebut dan menghantar penemuannya ke senarai Flagged Vulnerabilities.
6. Simpan ejen.

Alat dan MCP membolehkan anda menghantar kelemahan yang ditemukan oleh ejen ke saluran Slack, penjejak isu atau sistem lain yang disambungkan.

Pengesahan

Sejarah Automations menunjukkan masa setiap ejen berjalan, alat yang digunakannya, cara larian berakhir dan tempoh yang diambil. Bagi semakan Security Reviewer yang berjalan pada hos Cursor, lihat Recent Runs pada halaman Security Agents: anda boleh membuka sesi semakan dalam mod baca sahaja.

Penemuan Vulnerability Scanner dipaparkan dalam Flagged Vulnerabilities pada halaman Security Agents dan halaman setiap pengimbas. Senarai itu dikumpulkan mengikut repositori; anda boleh menapis penemuan mengikut pengimbas, status, maklum balas dan tahap keterukan. Setiap penemuan mempunyai tindakan Fix in Cursor yang memulakan ejen awan untuk membaiki kelemahan tersebut.

Ralat

Jika Security Reviewer tidak dapat disimpan, pastikan sekurang-kurangnya satu sambungan alat atau MCP telah dikonfigurasikan: penyimpanan akan gagal tanpanya.

Siapa yang membayar untuk semakan: penggunaan Security Agents#

Menurut dokumentasi, penggunaan Security Agents ditolak daripada kumpulan penggunaan pasukan. Ejen berjalan menggunakan akaun perkhidmatan kongsi pasukan, jadi ia tidak menggunakan elaun individu ahli.

Halaman dokumentasi tidak menyatakan harga atau pelan yang merangkumi Security Agents. Sebelum mengaktifkannya untuk semua repositori, semak ketersediaannya dalam akaun anda dan lihat jumlah yang digunakan daripada kumpulan pasukan oleh larian pertama.

Perbezaan Security Reviewer daripada /review-security dan Bugbot#

Mekanisme ini mempunyai matlamat yang serupa, tetapi bermula dengan cara yang berbeza.

/review-security dan /review boleh dijalankan secara manual daripada ejen sebelum kod dihantar ke repositori jauh. Secara lalai, /review-security menyemak perubahan pada cabang berbanding cabang asas, termasuk perubahan yang telah disimpan dalam commit dan perubahan yang belum di-commit. Anda boleh memintanya mengehadkan semakan kepada perubahan yang belum di-commit sahaja. Arahan ini tersedia dalam Cursor 3.7 dan yang lebih baharu, di cursor.com/agents dan dalam Cursor CLI. Anda menentukan masa untuk menjalankan semakan.

Security Reviewer ialah ejen dalam Automations yang berjalan secara automatik apabila dicetuskan oleh Git.

Bugbot ialah produk Cursor yang berasingan untuk semakan PR. Menurut dokumentasi, ia mencari pepijat, kelemahan dan masalah kualiti kod, serta meninggalkan komen yang mengandungi penjelasan dan cadangan pembaikan. Ia berjalan secara automatik setiap kali PR dikemas kini, atau secara manual.

Security Agents direka untuk semakan keselamatan: ia mempunyai semakan terbina dalam, imbasan berjadual bagi seluruh repositori dan senarai Flagged Vulnerabilities dengan status serta tahap keterukan. Dokumentasi tidak membandingkan kualiti penemuan Bugbot dengan Security Agents.

Rollouts: pemantauan selepas penggunaan#

Perkara yang dilakukan oleh Rollouts

Apabila pull request dibuka, Rollouts membaca perubahan dan sistem yang terjejas, lalu mencipta pelan pemantauan penggunaan. Pelan itu menyenaraikan risiko yang dikenal pasti, kesan perubahan yang dijangka, isyarat yang perlu diperiksa dan jurang dalam pengumpulan data yang menyukarkan pengesahan perubahan. Pada GitHub, GitLab.com dan Bitbucket Cloud, pelan itu dipaparkan sebagai komen PR.

Rollouts menjalankan semakan apabila berlaku peristiwa penggunaan dan membandingkan pelan dengan log, metrik dan surihan. Setiap persekitaran dijejaki secara berasingan: perubahan boleh lulus semakan dalam persekitaran ujian tetapi masih ditandakan sebagai bermasalah dalam pengeluaran. Semakan dijalankan pada masa penggunaan, kemudian selepas 20 minit, 1 jam, 1 hari dan 3 hari.

Jika regresi ditemukan, Rollouts mengenal pasti perubahan yang disyakinya sebagai punca, membuka isu dan memaklumkan pengarangnya. Pada halaman isu, butang Fix issue memulakan ejen awan. Rollouts sendiri tidak menggabungkan, mengembalikan atau membuat rollback perubahan.

Cara mengkonfigurasi Rollouts

1. Dalam Automations, klik Enable pada kad Rollouts di bawah From Cursor.
2. Pilih repositori yang hendak dipantau. Anda boleh menetapkan sehingga 200 repositori dalam tetapan.
3. Konfigurasikan peristiwa penggunaan: Rollouts perlu mengetahui masa setiap penggunaan pengeluaran bermula dan selesai. Untuk berbuat demikian, cipta kunci API Cursor dan simpannya dalam rahsia sistem binaan (CI) anda sebagai CURSOR_API_KEY. Kemudian terdapat dua pilihan: tambahkan panggilan secara manual pada proses penggunaan (arahan terdapat dalam bahagian Send deployment events dalam dokumentasi Rollouts), atau minta ejen persediaan melakukannya. Ejen akan membuka PR yang mengandungi panggilan tersebut. Gabungkan PR itu untuk melengkapkan persediaan.
4. Sambungkan telemetri seperti Datadog. Sekurang-kurangnya satu alat yang disambungkan diperlukan.
5. Pilih cara pengarang PR menerima pemberitahuan.

Sekatan yang mudah terlepas pandang

Tanpa telemetri yang disambungkan, perubahan kekal tertunda dan Rollouts tidak dapat mengesan masalah. Jika projek belum mempunyai Datadog atau sistem pemantauan yang serupa, anda perlu menyediakannya terlebih dahulu.

Pemberitahuan Slack tidak tersedia dalam Privacy Mode. Pentadbir pasukan perlu menambahkan Rollouts pada Slack terlebih dahulu.

Siapa yang memerlukannya dan siapa yang patut menunggu#

Jika anda bekerja sendirian, semak sama ada Security Agents tersedia dalam akaun anda sebelum mengaktifkannya: penggunaan diambil daripada kumpulan pasukan dan halaman dokumentasi tidak menyenaraikan pelan yang layak. Anda sendiri yang memulakan pembaikan bagi kelemahan yang ditemukan pengimbas: Fix in Cursor membuka ejen awan untuk bekerja dalam repositori.

Menurut dokumentasi, Rollouts hanya tersedia pada pelan Teams dan Enterprise. Jika anda belum mempunyai sistem pemantauan seperti Datadog, mulakan dengan sistem itu dan sambungkan Rollouts selepas itu.

Untuk maklumat lanjut tentang pelan Cursor, lihat perkara yang disertakan dalam langganan Cursor. Jika anda sudah mengkonfigurasi penyelarasan tugas antara ejen dalam Cursor, lihat Cursor Projects: cara penyelaras mewakilkan tugas.

Ringkasan#

Security Reviewer menyemak PR sebelum penggabungan; Vulnerability Scanner mengimbas seluruh repositori mengikut jadual. Penggunaan kedua-dua jenis ejen ditolak daripada kumpulan pasukan. Rollouts memantau perubahan selepas penggunaan, tersedia pada pelan Teams dan Enterprise, serta memerlukan sekurang-kurangnya satu sumber telemetri yang disambungkan.

Kenali Ailoot.