Security Agents in Rollouts v Cursorju: varnostni pregledi in spremljanje izdaj

V Cursor Automations lahko konfigurirate varnostne preglede kode in spremljanje izdaj. Security Agents pregledujejo pull requeste (PR-je) in po urniku pregledujejo celoten repozitorij. Rollouts spremlja spremembo po uvedbi, je na voljo v paketih Teams in Enterprise ter zahteva povezano telemetrijo: dnevnike, metrike in sledi.

Spodaj so opisani koraki za nastavitev na podlagi uradne dokumentacije Cursorja, obračunavanje uporabe Security Agents, omejitve paketov ter razlike v primerjavi z Bugbotom in ročnim ukazom /review-security.

Informacije o uporabi Ailoota so na voljo v dokumentaciji.

Kaj so Security Agents v Cursorju#

Vrsta agenta določa, kako se pregled začne:

• Security Reviewer se sproži ob dogodkih Git: pull requestu ali merge requestu.
• Vulnerability Scanner se izvaja po urniku cron in pregleduje kodno zbirko neodvisno od dejavnosti PR-jev.

Cron omogoča načrtovanje ponavljajočih se zagonov pregledovalnika.

Kako omogočiti Security Reviewer in Vulnerability Scanner#

Koraki

1. V Automations odprite Security Agents (razdelek je opisan v dokumentaciji Security Agents).
2. Izberite vrsto agenta: Security Reviewer (pregled PR-jev) ali Vulnerability Scanner (načrtovani pregledi).
3. Za Security Reviewer konfigurirajte sprožilec Git: dogodek pull requesta ali merge requesta. Za Vulnerability Scanner konfigurirajte urnik cron.
4. Vklopite ali izklopite vgrajene varnostne preglede: vključeni so pri obeh vrstah agentov, nabor pa lahko prilagodite nalogi.
5. Povežite orodje ali strežnik MCP: tako se lahko agent poveže s sistemi, v katerih ekipa upravlja svoje varnostno delo. To je obvezno za Security Reviewer: shraniti ga ne morete brez vsaj ene povezave z orodjem ali MCP. Vulnerability Scanner lahko shranite tudi brez teh povezav, njegove ugotovitve pa pošlje na seznam Flagged Vulnerabilities.
6. Shranite agenta.

Orodja in MCP omogočajo pošiljanje ranljivosti, ki jih najde agent, v kanal Slack, sledilnik težav ali drug povezan sistem.

Preverjanje

Zgodovina Automations prikazuje, kdaj se je posamezni agent zagnal, katera orodja je uporabil, kako se je izvajanje končalo in koliko časa je trajalo. Če želite preveriti pregled Security Reviewer, ki se je izvedel na Cursorjevem gostovanju, na strani Security Agents poiščite Recent Runs: sejo pregleda lahko odprete v načinu samo za branje.

Ugotovitve Vulnerability Scanner so prikazane v razdelku Flagged Vulnerabilities na strani Security Agents in na strani posameznega pregledovalnika. Seznam je razvrščen po repozitoriju; ugotovitve lahko filtrirate po pregledovalniku, stanju, povratnih informacijah in resnosti. Vsaka ima dejanje Fix in Cursor, ki za odpravo ranljivosti zažene cloud agent.

Napake

Če Security Reviewerja ni mogoče shraniti, preverite, ali je konfigurirana vsaj ena povezava z orodjem ali MCP: brez nje shranjevanje ne uspe.

Kdo plača preglede: uporaba Security Agents#

V skladu z dokumentacijo se uporaba Security Agents odšteva od skupnega paketa ekipe. Agenti delujejo v okviru skupnega servisnega računa ekipe, zato ne porabljajo kvote posameznega člana.

Na strani z dokumentacijo niso navedene cene ali paketi, ki vključujejo Security Agents. Preden jih omogočite v vseh repozitorijih, preverite, ali so na voljo v vašem računu, in koliko skupnega paketa ekipe porabijo prvi zagoni.

Kako se Security Reviewer razlikuje od /review-security in Bugbota#

Ti mehanizmi imajo podobne cilje, vendar se sprožijo na različne načine.

/review-security in /review lahko ročno zaženete v agentu, preden kodo pošljete v oddaljeni repozitorij. /review-security privzeto preveri spremembe veje glede na osnovno vejo, vključno s spremembami, že shranjenimi v commitih, in spremembami, ki še niso bile potrjene. Lahko mu naročite, naj pregled omeji samo na slednje. Ukazi so na voljo v Cursorju 3.7 in novejših različicah, na cursor.com/agents in v Cursor CLI. Sami določite, kdaj boste zagnali pregled.

Security Reviewer je agent v Automations, ki se samodejno zažene ob sprožilcu Git.

Bugbot je ločen Cursorjev izdelek za pregled PR-jev. V skladu z dokumentacijo išče napake, ranljivosti in težave s kakovostjo kode ter objavlja komentarje z razlagami in predlaganimi popravki. Zažene se samodejno ob vsaki posodobitvi PR-ja ali pa ga zaženete ročno.

Security Agents so namenjeni varnostnim pregledom: vključujejo vgrajene preglede, načrtovane preglede celotnega repozitorija ter seznam Flagged Vulnerabilities s stanji in stopnjami resnosti. Dokumentacija ne primerja kakovosti ugotovitev Bugbota in Security Agents.

Rollouts: spremljanje po uvedbi#

Kaj počne Rollouts

Ko odprete pull request, Rollouts prebere spremembe in prizadete sisteme ter pripravi načrt spremljanja uvedbe. V načrtu so navedena prepoznana tveganja, pričakovani učinek spremembe, signali, ki jih je treba preveriti, in vrzeli v zbiranju podatkov, zaradi katerih je spremembo težko preveriti. Na GitHubu, GitLab.com in Bitbucket Cloudu je načrt prikazan kot komentar PR-ja.

Rollouts zažene preverjanja ob dogodkih uvedbe in načrt primerja z dnevniki, metrikami in sledmi. Vsako okolje spremlja posebej: sprememba lahko prestane preverjanja v testnem okolju, vendar je v produkciji še vedno označena kot problematična. Preverjanja se izvedejo ob uvedbi, nato čez 20 minut, 1 uro, 1 dan in 3 dni.

Če odkrije regresijo, Rollouts prepozna spremembo, za katero sumi, da jo je povzročila, odpre issue in obvesti avtorja. Na strani issueja gumb Fix issue zažene cloud agent. Rollouts sam ne združuje, ne razveljavlja in ne povrača sprememb.

Kako konfigurirati Rollouts

1. V Automations kliknite Enable na kartici Rollouts v razdelku From Cursor.
2. Izberite repozitorije, ki jih želite spremljati. V nastavitvah lahko določite do 200 repozitorijev.
3. Konfigurirajte dogodke uvedbe: Rollouts mora vedeti, kdaj se vsaka produkcijska uvedba začne in konča. Ustvarite ključ Cursor API in ga v skrivnostih svojega sistema za gradnjo (CI) shranite kot CURSOR_API_KEY. Nato imate dve možnosti: klice ročno dodajte v postopek uvedbe (ukazi so v razdelku Send deployment events v dokumentaciji Rollouts) ali pa za to prosite agenta za nastavitev. Agent bo odprl PR s temi klici. Združite ta PR, da dokončate nastavitev.
4. Povežite telemetrijo, na primer Datadog. Zahtevano je vsaj eno povezano orodje.
5. Izberite, kako bodo avtorji PR-jev prejemali obvestila.

Omejitve, ki jih je lahko spregledati

Če telemetrija ni povezana, spremembe ostanejo v čakanju, Rollouts pa ne more zaznati težav. Če projekt še nima Datadoga ali podobnega sistema za spremljanje, ga boste morali najprej vzpostaviti.

Obvestila Slack niso na voljo v načinu Privacy Mode. Skrbnik ekipe mora Rollouts najprej dodati v Slack.

Kdo to potrebuje in kdo naj še počaka#

Če delate sami, pred omogočanjem preverite, ali so Security Agents na voljo v vašem računu: uporaba se črpa iz skupnega paketa ekipe, dokumentacijska stran pa ne navaja upravičenih paketov. Popravilo ranljivosti, ki jo najde pregledovalnik, zaženete sami: Fix in Cursor odpre cloud agent, ki dela v repozitoriju.

V skladu z dokumentacijo je Rollouts na voljo samo v paketih Teams in Enterprise. Če še nimate sistema za spremljanje, kot je Datadog, najprej začnite z njim, nato pa povežite Rollouts.

Več o paketih Cursor preberite v vodniku kaj vključuje naročnina Cursor. Če ste v Cursorju že nastavili usklajevanje nalog med agenti, si oglejte Cursor Projects: kako koordinator delegira naloge.

Povzetek#

Security Reviewer pregleda PR-je pred združitvijo; Vulnerability Scanner po urniku pregleda celoten repozitorij. Uporaba obeh vrst agentov se odšteva od skupnega paketa ekipe. Rollouts spremlja spremembo po uvedbi, je na voljo v paketih Teams in Enterprise ter zahteva vsaj en povezan vir telemetrije.

Spoznajte Ailoot.