Security Agents и Rollouts в Cursor: настройка, расходы и ограничения

В Cursor Automations можно настроить проверку безопасности кода и отслеживание изменений после выпуска. Security Agents проверяют pull request (PR) и сканируют весь репозиторий по расписанию. Rollouts наблюдает за изменением после развёртывания; функция доступна на тарифах Teams и Enterprise и требует подключённой телеметрии: логов, метрик и трассировок.

Далее описаны настройка по официальной документации Cursor, порядок списания расходов Security Agents, тарифные ограничения и различия между этими средствами, Bugbot и ручной командой /review-security.

Сведения о работе с Ailoot приведены в документации.

Что такое Security Agents в Cursor?#

Тип агента задаёт способ запуска проверки:

• Security Reviewer запускается при событии Git: создании pull request или merge request.
• Vulnerability Scanner запускается по расписанию cron и проверяет кодовую базу независимо от активности PR.

С помощью cron можно установить периодичность запусков сканера.

Как настроить Security Reviewer и Vulnerability Scanner#

Порядок настройки

1. Открой раздел Security Agents в Automations. Описание есть в документации Security Agents.
2. Выбери тип агента: Security Reviewer для проверки PR или Vulnerability Scanner для сканирования по расписанию.
3. Для Security Reviewer задай Git-триггер — событие pull request или merge request. Для Vulnerability Scanner установи расписание cron.
4. Настрой встроенные проверки безопасности: их можно включать и отключать для обоих типов агентов, подбирая набор под задачу.
5. Подключи инструмент или MCP-сервер, через который агент будет взаимодействовать с системами команды для работы с безопасностью. Для Security Reviewer подключение обязательно: без хотя бы одного инструмента или MCP сохранить агента нельзя. Vulnerability Scanner можно сохранить и без подключения; в таком случае найденное будет добавляться в список Flagged Vulnerabilities («отмеченные уязвимости»).
6. Сохрани агента.

С помощью инструментов и MCP найденные уязвимости можно передавать, например, в канал Slack, систему управления задачами или другую подключённую систему.

Как проверить работу

В истории Automations отображаются время запусков каждого агента, использованные инструменты, результат и длительность. Запуски Security Reviewer, выполненные на хостинге Cursor, смотри в разделе Recent Runs («последние запуски») на странице Security Agents. Сессию такой проверки можно открыть только для чтения.

Результаты Vulnerability Scanner доступны в списке Flagged Vulnerabilities на странице Security Agents и на странице соответствующего сканера. Список сгруппирован по репозиториям; результаты можно фильтровать по сканеру, статусу, наличию отзыва и уровню серьёзности. Для каждого результата есть действие Fix in Cursor, запускающее облачного агента для исправления уязвимости.

Если возникла ошибка

Если Security Reviewer не удаётся сохранить, проверь, подключён ли хотя бы один инструмент или MCP: без такого подключения сохранение невозможно.

Кто оплачивает проверки: расходы Security Agents#

Согласно документации, расходы Security Agents списываются из командного пула использования. Поскольку агенты работают под общим служебным аккаунтом команды, лимит отдельного участника не расходуется.

На странице документации не указаны цены или тарифы, включающие Security Agents. Перед включением функции во всех репозиториях проверь её доступность в своём аккаунте и посмотри, сколько командного пула используют первые запуски.

Чем Security Reviewer отличается от /review-security и Bugbot#

Эти средства решают похожие задачи, но запускаются по-разному.

/review-security и /review можно вручную запустить из агента до отправки кода в удалённый репозиторий. По умолчанию /review-security проверяет изменения текущей ветки относительно базовой, включая как уже добавленные в коммиты правки, так и ещё не закоммиченные. Проверку можно ограничить только изменениями, не вошедшими в коммиты. Команды доступны в Cursor 3.7 и более новых версиях, на cursor.com/agents и в Cursor CLI. Решение о запуске остаётся за тобой.

Security Reviewer — агент Automations, автоматически запускающийся при Git-событии.

Bugbot — отдельный продукт Cursor для проверки PR. По документации, он находит ошибки, уязвимости и проблемы качества кода, а затем оставляет комментарии с пояснениями и предложениями по исправлению. Запуск происходит автоматически при каждом обновлении PR или вручную.

Security Agents сосредоточены на безопасности: они предлагают встроенные проверки, сканирование всего репозитория по расписанию и список Flagged Vulnerabilities со статусами и уровнями серьёзности. Документация не сравнивает качество результатов Bugbot и Security Agents.

Rollouts: наблюдение за изменениями после развёртывания#

Возможности Rollouts

Когда открывают pull request, Rollouts анализирует изменения и затронутые системы, затем составляет план наблюдения за развёртыванием. В нём перечислены выявленные риски, ожидаемый эффект, сигналы для проверки и пробелы в сборе данных, затрудняющие проверку изменения. На GitHub, GitLab.com и Bitbucket Cloud план публикуется комментарием к PR.

Rollouts запускает проверки по событиям развёртывания и сопоставляет план с логами, метриками и трассировками. Каждое окружение рассматривается отдельно: изменение может пройти проверку в тестовой среде, но при этом получить отметку о проблеме в рабочей. Проверки выполняются при развёртывании, а затем через 20 минут, 1 час, 1 день и 3 дня.

Если Rollouts обнаруживает регрессию, она указывает изменение, которое считает возможной причиной, создаёт задачу и уведомляет автора. Кнопка Fix issue («исправить») на странице задачи запускает облачного агента. Сама Rollouts не сливает, не отменяет и не откатывает изменения.

Настройка Rollouts

1. В Automations нажми Enable («включить») на карточке Rollouts в разделе From Cursor.
2. Выбери репозитории для наблюдения. В настройках можно добавить до 200 репозиториев.
3. Настрой передачу событий развёртывания: Rollouts должна получать сведения о начале и завершении каждого развёртывания в рабочую среду. Для этого создай API-ключ Cursor и сохрани его в секретах системы сборки (CI) под именем CURSOR_API_KEY. Затем выбери один из двух вариантов: вручную добавь вызовы в процесс развёртывания — команды приведены в разделе Send deployment events документации Rollouts — или передай эту работу агенту настройки. Он создаст PR с необходимыми вызовами; заверши настройку слиянием этого PR.
4. Подключи источник телеметрии, например Datadog. Требуется хотя бы один подключённый инструмент.
5. Выбери способ уведомления авторов PR.

Важные ограничения

Пока телеметрия не подключена, изменения остаются в состоянии ожидания, а Rollouts не может выявлять проблемы. Если в проекте ещё нет Datadog или аналогичной системы наблюдения, сначала потребуется подключить такую систему.

В режиме приватности (Privacy Mode) уведомления в Slack недоступны. Сначала администратор команды должен добавить Rollouts в Slack.

Кому подойдут эти функции и когда с ними повременить#

Если ты работаешь один, перед включением Security Agents проверь доступность функции в своём аккаунте: расходы берутся из командного пула, а документация не перечисляет поддерживаемые тарифы. Найденную сканером уязвимость исправляешь по собственному решению: действие Fix in Cursor («исправить в Cursor») открывает облачного агента для работы с репозиторием.

Согласно документации, Rollouts доступна только на тарифах Teams и Enterprise. Если системы наблюдения, например Datadog, пока нет, сначала настрой её, а затем подключай Rollouts.

Подробнее о тарифах Cursor — в материале что даёт подписка Cursor. Если в Cursor уже настроена координация задач между агентами, смотри Cursor Projects: как координатор поручает задачи.

Вывод#

Security Reviewer проверяет PR перед слиянием, а Vulnerability Scanner по расписанию сканирует весь репозиторий. Расходы обоих типов агентов списываются из командного пула. Rollouts отслеживает изменения после развёртывания, доступна на тарифах Teams и Enterprise и требует хотя бы одного подключённого источника телеметрии.

Познакомься с Ailoot.