Security Agents og Rollouts i Cursor: sikkerhetskontroller og overvåking av lanseringer

I Cursor Automations kan du konfigurere sikkerhetskontroller av kode og overvåking av lanseringer. Security Agents gjennomgår pull requests (PR-er) og skanner hele repositoriet etter en tidsplan. Rollouts overvåker en endring etter utrulling, er tilgjengelig med Teams- og Enterprise-abonnementene og krever tilkoblet telemetri: logger, måledata og spor.

Nedenfor finner du oppsettstrinnene basert på Cursors offisielle dokumentasjon, hvordan bruk av Security Agents belastes, abonnementsbegrensninger og forskjellene fra Bugbot og den manuelle kommandoen /review-security.

Informasjon om bruk av Ailoot finnes i dokumentasjonen.

Hva Security Agents er i Cursor#

Agenttypen avgjør hvordan en kontroll starter:

• Security Reviewer utløses av Git-hendelser: en pull request eller merge request.
• Vulnerability Scanner kjører etter en cron-plan og skanner kodebasen uavhengig av PR-aktivitet.

Cron lar deg planlegge gjentatte skanninger.

Slik aktiverer du Security Reviewer og Vulnerability Scanner#

Trinn

1. Åpne Security Agents i Automations (delen er beskrevet i dokumentasjonen for Security Agents).
2. Velg agenttype: Security Reviewer (PR-gjennomgang) eller Vulnerability Scanner (planlagt skanning).
3. Konfigurer en Git-utløser for Security Reviewer: en pull request- eller merge request-hendelse. Konfigurer en cron-plan for Vulnerability Scanner.
4. Aktiver eller deaktiver de innebygde sikkerhetskontrollene: begge agenttypene har dem, og du kan tilpasse utvalget etter oppgaven.
5. Koble til et verktøy eller en MCP-server: disse lar agenten koble seg til systemene der teamet administrerer sikkerhetsarbeidet sitt. Dette er obligatorisk for Security Reviewer: du kan ikke lagre den uten minst én verktøy- eller MCP-tilkobling. Vulnerability Scanner kan lagres uten slike tilkoblinger og sender funnene sine til listen Flagged Vulnerabilities.
6. Lagre agenten.

Med verktøy og MCP kan du sende sårbarheter agenten finner, til en Slack-kanal, et saksbehandlingssystem eller et annet tilkoblet system.

Verifisering

Historikken i Automations viser når hver agent kjørte, hvilke verktøy den brukte, hvordan kjøringen ble avsluttet og hvor lang tid den tok. For en Security Reviewer-kontroll som kjørte på Cursors vertsmiljø, finner du den under Recent Runs på siden Security Agents: du kan åpne gjennomgangsøkten i skrivebeskyttet modus.

Funn fra Vulnerability Scanner vises under Flagged Vulnerabilities på siden Security Agents og på siden til hver skanner. Listen er gruppert etter repositorium; du kan filtrere funn etter skanner, status, tilbakemelding og alvorlighetsgrad. Hvert funn har handlingen Fix in Cursor, som starter en skyagent for å rette sårbarheten.

Feil

Hvis Security Reviewer ikke kan lagres, må du kontrollere at minst én verktøy- eller MCP-tilkobling er konfigurert: lagringen mislykkes uten en slik tilkobling.

Hvem betaler for kontrollene: bruk av Security Agents#

Ifølge dokumentasjonen trekkes bruk av Security Agents fra teamets felleskvote. Agentene kjører under teamets delte tjenestekonto og bruker derfor ikke kvoten til et enkeltmedlem.

Dokumentasjonssiden oppgir ikke priser eller hvilke abonnementer som inkluderer Security Agents. Før du aktiverer dem for alle repositoriene, må du kontrollere om de er tilgjengelige i kontoen din og følge med på hvor mye de første kjøringene bruker av teamets kvote.

Hvordan Security Reviewer skiller seg fra /review-security og Bugbot#

Disse mekanismene har lignende mål, men starter på ulike måter.

/review-security og /review kan kjøres manuelt fra agenten før du pusher kode til et eksternt repositorium. Som standard kontrollerer /review-security endringene i branchen mot basisbranchen, inkludert både endringer som allerede er lagret i commits, og endringer som ennå ikke er committet. Du kan be den begrense gjennomgangen til de sistnevnte. Kommandoene er tilgjengelige i Cursor 3.7 og nyere, på cursor.com/agents og i Cursor CLI. Du bestemmer selv når gjennomgangen skal kjøres.

Security Reviewer er en agent i Automations som kjører automatisk når en Git-utløser aktiveres.

Bugbot er et separat Cursor-produkt for PR-gjennomgang. Ifølge dokumentasjonen leter det etter feil, sårbarheter og problemer med kodekvaliteten, og legger igjen kommentarer med forklaringer og foreslåtte rettinger. Det kjører automatisk hver gang en PR oppdateres, eller manuelt.

Security Agents er laget for sikkerhetskontroller: de har innebygde kontroller, planlagte skanninger av hele repositoriet og en Flagged Vulnerabilities-liste med statuser og alvorlighetsgrader. Dokumentasjonen sammenligner ikke kvaliteten på funn fra Bugbot og Security Agents.

Rollouts: overvåking etter utrulling#

Hva Rollouts gjør

Når en pull request åpnes, leser Rollouts endringene og de berørte systemene og lager en overvåkingsplan for utrullingen. Planen viser risikoene Rollouts har identifisert, forventet effekt av endringen, signaler som skal kontrolleres, og mangler i datainnsamlingen som gjør endringen vanskelig å verifisere. På GitHub, GitLab.com og Bitbucket Cloud vises planen som en PR-kommentar.

Rollouts kjører kontroller ved utrullingshendelser og sammenligner planen med logger, måledata og spor. Hvert miljø følges opp separat: en endring kan bestå kontrollene i et testmiljø og likevel bli flagget som problematisk i produksjon. Kontrollene kjøres ved utrulling, deretter etter 20 minutter, 1 time, 1 dag og 3 dager.

Hvis en regresjon blir funnet, identifiserer Rollouts endringen den mistenker er årsaken, oppretter en sak og varsler forfatteren. På saksiden starter knappen Fix issue en skyagent. Rollouts fletter ikke inn, opphever ikke eller ruller ikke tilbake endringer selv.

Slik konfigurerer du Rollouts

1. I Automations klikker du på Enable på Rollouts-kortet under From Cursor.
2. Velg repositoriene som skal overvåkes. Du kan angi opptil 200 repositorier i innstillingene.
3. Konfigurer utrullingshendelser: Rollouts må vite når hver produksjonsutrulling starter og slutter. Opprett en Cursor API-nøkkel, og lagre den som CURSOR_API_KEY i hemmelighetene til byggesystemet ditt (CI). Deretter har du to alternativer: legg til kallene manuelt i utrullingsprosessen (kommandoene står i delen Send deployment events i dokumentasjonen for Rollouts), eller be oppsettsagenten gjøre det. Agenten åpner en PR som inneholder disse kallene. Flett inn den PR-en for å fullføre oppsettet.
4. Koble til telemetri, for eksempel Datadog. Minst ett tilkoblet verktøy er påkrevd.
5. Velg hvordan PR-forfattere skal motta varsler.

Begrensninger det er lett å overse

Uten tilkoblet telemetri blir endringer stående som ventende, og Rollouts kan ikke oppdage problemer. Hvis prosjektet ennå ikke har Datadog eller et lignende overvåkingssystem, må du skaffe dette først.

Slack-varsler er ikke tilgjengelige i Privacy Mode. En teamadministrator må legge til Rollouts i Slack først.

Hvem har nytte av dette, og hvem bør vente#

Hvis du jobber alene, bør du kontrollere om Security Agents er tilgjengelige i kontoen din før du aktiverer dem: bruken trekkes fra teamets kvote, og dokumentasjonssiden oppgir ikke hvilke abonnementer som er kvalifisert. Du starter selv rettingen av en sårbarhet skanneren finner: Fix in Cursor åpner en skyagent som arbeider i repositoriet.

Ifølge dokumentasjonen er Rollouts bare tilgjengelig med Teams- og Enterprise-abonnementene. Hvis du ennå ikke har et overvåkingssystem som Datadog, bør du starte med det og koble til Rollouts etterpå.

Les mer om Cursor-abonnementer i hva et Cursor-abonnement inkluderer. Hvis du allerede har konfigurert koordinering av oppgaver mellom agenter i Cursor, kan du lese Cursor Projects: slik delegerer koordinatoren oppgaver.

Oppsummering#

Security Reviewer gjennomgår PR-er før de flettes inn; Vulnerability Scanner skanner hele repositoriet etter en tidsplan. Bruk av begge agenttypene trekkes fra teamets kvote. Rollouts overvåker en endring etter utrulling, er tilgjengelig med Teams- og Enterprise-abonnementene og krever minst én tilkoblet telemetrikilde.

Bli kjent med Ailoot.