Security Agents en Rollouts in Cursor: beveiligingscontroles en releasemonitoring

In Cursor Automations kun je beveiligingscontroles voor code en releasemonitoring configureren. Security Agents beoordelen pull requests (PR’s) en scannen de volledige repository volgens een schema. Rollouts monitort een wijziging na de implementatie, is beschikbaar bij de Teams- en Enterprise-abonnementen en vereist gekoppelde telemetrie: logs, metrics en traces.

Hieronder vind je de configuratiestappen op basis van de officiële documentatie van Cursor, hoe het gebruik van Security Agents wordt verrekend, abonnementsbeperkingen en de verschillen met Bugbot en de handmatige opdracht /review-security.

Informatie over het gebruik van Ailoot vind je in de documentatie.

Wat Security Agents zijn in Cursor#

Het type agent bepaalt hoe een controle wordt gestart:

• Security Reviewer wordt gestart door Git-gebeurtenissen: een pull request of merge request.
• Vulnerability Scanner draait volgens een cron-schema en scant de codebase onafhankelijk van PR-activiteit.

Met cron kun je terugkerende scans inplannen.

Security Reviewer en Vulnerability Scanner inschakelen#

Stappen

1. Open Security Agents in Automations (deze sectie wordt beschreven in de documentatie over Security Agents).
2. Kies het type agent: Security Reviewer (PR-beoordeling) of Vulnerability Scanner (scannen volgens schema).
3. Configureer voor Security Reviewer een Git-trigger: een pull-request- of merge-requestgebeurtenis. Configureer voor Vulnerability Scanner een cron-schema.
4. Schakel de ingebouwde beveiligingscontroles in of uit: beide typen agents hebben ze en je kunt de set aanpassen aan de taak.
5. Koppel een tool of MCP-server: hiermee kan de agent verbinding maken met de systemen waarin het team zijn beveiligingswerk beheert. Dit is vereist voor Security Reviewer: je kunt deze niet opslaan zonder ten minste één tool- of MCP-verbinding. Vulnerability Scanner kan zonder deze verbindingen worden opgeslagen en stuurt de bevindingen naar de lijst Flagged Vulnerabilities.
6. Sla de agent op.

Met tools en MCP kun je kwetsbaarheden die de agent vindt doorsturen naar een Slack-kanaal, een issue-tracker of een ander gekoppeld systeem.

Verificatie

In de geschiedenis van Automations zie je wanneer elke agent heeft gedraaid, welke tools de agent heeft gebruikt, hoe de uitvoering is geëindigd en hoelang die duurde. Kijk voor een controle van Security Reviewer die door Cursor is gehost op de pagina Security Agents onder Recent Runs: je kunt de reviewsessie openen in de alleen-lezenmodus.

Bevindingen van Vulnerability Scanner verschijnen onder Flagged Vulnerabilities op de pagina Security Agents en op de pagina van elke scanner. De lijst is gegroepeerd per repository; je kunt bevindingen filteren op scanner, status, feedback en ernst. Elke bevinding heeft de actie Fix in Cursor, waarmee een cloud agent wordt gestart om de kwetsbaarheid te verhelpen.

Fouten

Als Security Reviewer niet kan worden opgeslagen, controleer dan of er ten minste één tool- of MCP-verbinding is geconfigureerd: opslaan mislukt zonder zo’n verbinding.

Wie betaalt voor de controles: gebruik van Security Agents#

Volgens de documentatie wordt het gebruik van Security Agents afgetrokken van de gebruikspool van het team. De agents draaien onder het gedeelde serviceaccount van het team en verbruiken dus niet het persoonlijke tegoed van een afzonderlijk teamlid.

De documentatiepagina vermeldt geen prijzen en geeft niet aan bij welke abonnementen Security Agents zijn inbegrepen. Controleer voordat je ze voor alle repositories inschakelt of ze beschikbaar zijn in je account en hoeveel de eerste uitvoeringen uit de teampool verbruiken.

Verschillen tussen Security Reviewer, /review-security en Bugbot#

Deze mechanismen hebben vergelijkbare doelen, maar worden op verschillende manieren gestart.

/review-security en /review kunnen handmatig vanuit de agent worden uitgevoerd voordat je code naar een externe repository pusht. Standaard controleert /review-security de wijzigingen in de branch ten opzichte van de basisbranch, waaronder zowel wijzigingen die al in commits zijn opgeslagen als wijzigingen die nog niet zijn gecommit. Je kunt vragen om de beoordeling tot die laatste categorie te beperken. De opdrachten zijn beschikbaar in Cursor 3.7 en hoger, op cursor.com/agents en in de Cursor CLI. Je bepaalt zelf wanneer je de beoordeling uitvoert.

Security Reviewer is een agent in Automations die automatisch wordt gestart door een Git-trigger.

Bugbot is een afzonderlijk Cursor-product voor PR-beoordeling. Volgens de documentatie zoekt het naar bugs, kwetsbaarheden en problemen met de codekwaliteit en laat het opmerkingen achter met uitleg en voorgestelde oplossingen. Het draait automatisch wanneer een PR wordt bijgewerkt, of handmatig.

Security Agents zijn ontworpen voor beveiligingscontroles: ze hebben ingebouwde controles, geplande scans van de volledige repository en een lijst Flagged Vulnerabilities met statussen en ernstniveaus. De documentatie vergelijkt de kwaliteit van de bevindingen van Bugbot en Security Agents niet.

Rollouts: monitoring na implementatie#

Wat Rollouts doet

Wanneer een pull request wordt geopend, leest Rollouts de wijzigingen en de betrokken systemen en stelt het een monitoringplan voor de implementatie op. In het plan staan de vastgestelde risico’s, het verwachte effect van de wijziging, de te controleren signalen en hiaten in de gegevensverzameling die het lastig maken de wijziging te verifiëren. Op GitHub, GitLab.com en Bitbucket Cloud verschijnt het plan als een PR-opmerking.

Rollouts voert controles uit bij implementatiegebeurtenissen en vergelijkt het plan met logs, metrics en traces. Elke omgeving wordt afzonderlijk gevolgd: een wijziging kan de controles in een testomgeving doorstaan en toch als problematisch worden aangemerkt in productie. Controles worden uitgevoerd op het moment van implementatie en vervolgens na 20 minuten, 1 uur, 1 dag en 3 dagen.

Als er een regressie wordt gevonden, identificeert Rollouts de wijziging die volgens het systeem de oorzaak kan zijn, opent het een issue en stelt het de auteur op de hoogte. Op de issuepagina start de knop Fix issue een cloud agent. Rollouts voegt wijzigingen zelf niet samen, maakt ze niet ongedaan en draait ze niet terug.

Rollouts configureren

1. Klik in Automations op Enable op de Rollouts-kaart onder From Cursor.
2. Kies de repositories die je wilt monitoren. Je kunt in de instellingen maximaal 200 repositories opgeven.
3. Configureer implementatiegebeurtenissen: Rollouts moet weten wanneer elke productie-implementatie begint en eindigt. Maak hiervoor een Cursor API-sleutel aan en sla die in de secrets van je build-systeem (CI) op als CURSOR_API_KEY. Daarna heb je twee opties: voeg de aanroepen handmatig toe aan het implementatieproces (de opdrachten staan in het gedeelte Send deployment events van de documentatie over Rollouts), of vraag de installatieagent dit te doen. De agent opent een PR met deze aanroepen. Voeg die PR samen om de installatie af te ronden.
4. Koppel telemetrie, zoals Datadog. Er is ten minste één gekoppelde tool vereist.
5. Kies hoe PR-auteurs meldingen ontvangen.

Beperkingen die gemakkelijk over het hoofd worden gezien

Zonder gekoppelde telemetrie blijven wijzigingen in behandeling en kan Rollouts geen problemen detecteren. Als het project nog geen Datadog of een vergelijkbaar monitoringsysteem heeft, moet je dat eerst regelen.

Slack-meldingen zijn niet beschikbaar in Privacy Mode. Een teambeheerder moet Rollouts eerst aan Slack toevoegen.

Voor wie dit nuttig is en wie beter kan wachten#

Als je alleen werkt, controleer dan voordat je Security Agents inschakelt of deze beschikbaar zijn in je account: het gebruik komt uit de teampool en op de documentatiepagina staat niet bij welke abonnementen de agents beschikbaar zijn. Je start zelf de oplossing voor een kwetsbaarheid die de scanner vindt: Fix in Cursor opent een cloud agent die in de repository aan de slag gaat.

Volgens de documentatie is Rollouts alleen beschikbaar bij de Teams- en Enterprise-abonnementen. Als je nog geen monitoringsysteem zoals Datadog hebt, begin dan daarmee en koppel Rollouts daarna.

Lees voor meer informatie over Cursor-abonnementen wat een Cursor-abonnement omvat. Als je in Cursor al taakcoördinatie tussen agents hebt ingesteld, lees dan Cursor Projects: hoe de coördinator taken delegeert.

Samenvatting#

Security Reviewer beoordeelt PR’s voordat ze worden samengevoegd; Vulnerability Scanner scant de volledige repository volgens een schema. Het gebruik van beide typen agents wordt afgetrokken van de teampool. Rollouts monitort een wijziging na de implementatie, is beschikbaar bij de Teams- en Enterprise-abonnementen en vereist ten minste één gekoppelde telemetriebron.

Maak kennis met Ailoot.