Security Agents och Rollouts i Cursor: säkerhetskontroller och releaseövervakning

I Cursor Automations kan du konfigurera säkerhetskontroller av kod och releaseövervakning. Security Agents granskar pull requests (PR:er) och skannar hela kodförrådet enligt ett schema. Rollouts övervakar en ändring efter driftsättning, är tillgängligt med Teams- och Enterprise-abonnemang och kräver ansluten telemetri: loggar, mätvärden och spårningar.

Nedan följer konfigurationsstegen baserade på Cursors officiella dokumentation, hur användningen av Security Agents räknas av, abonnemangsbegränsningar och skillnaderna jämfört med Bugbot och det manuella kommandot /review-security.

Information om hur du använder Ailoot finns i dokumentationen.

Vad Security Agents är i Cursor#

Agenttypen avgör hur en kontroll startar:

• Security Reviewer utlöses av Git-händelser: en pull request eller merge request.
• Vulnerability Scanner körs enligt ett cron-schema och skannar kodbasen oberoende av PR-aktivitet.

Med cron kan du schemalägga återkommande skanningar.

Så aktiverar du Security Reviewer och Vulnerability Scanner#

Steg

1. Öppna Security Agents i Automations (avsnittet beskrivs i dokumentationen om Security Agents).
2. Välj agenttyp: Security Reviewer (PR-granskning) eller Vulnerability Scanner (schemalagd skanning).
3. För Security Reviewer konfigurerar du en Git-utlösare: en pull request- eller merge request-händelse. För Vulnerability Scanner konfigurerar du ett cron-schema.
4. Aktivera eller inaktivera de inbyggda säkerhetskontrollerna: båda agenttyperna har sådana, och du kan anpassa uppsättningen efter uppgiften.
5. Anslut ett verktyg eller en MCP-server: med dessa kan agenten ansluta till systemen där teamet hanterar sitt säkerhetsarbete. Detta krävs för Security Reviewer: du kan inte spara den utan minst en verktygs- eller MCP-anslutning. Vulnerability Scanner kan sparas utan sådana anslutningar och skickar sina resultat till listan Flagged Vulnerabilities.
6. Spara agenten.

Med verktyg och MCP kan du skicka sårbarheter som agenten hittar till en Slack-kanal, ett ärendehanteringssystem eller ett annat anslutet system.

Verifiering

Automations historik visar när varje agent kördes, vilka verktyg den använde, hur körningen avslutades och hur lång tid den tog. För en Security Reviewer-kontroll som kördes på Cursors värdtjänst går du till Recent Runs på sidan Security Agents: där kan du öppna granskningssessionen i skrivskyddat läge.

Resultat från Vulnerability Scanner visas under Flagged Vulnerabilities på sidan Security Agents och på varje skanners sida. Listan är grupperad efter kodförråd; du kan filtrera resultaten efter skanner, status, återkoppling och allvarlighetsgrad. Varje resultat har åtgärden Fix in Cursor, som startar en molnagent för att åtgärda sårbarheten.

Fel

Om Security Reviewer inte går att spara kontrollerar du att minst en verktygs- eller MCP-anslutning har konfigurerats: det går inte att spara utan en sådan.

Vem betalar för kontrollerna: användning av Security Agents#

Enligt dokumentationen dras användningen av Security Agents från teamets användningspool. Agenterna körs under teamets delade tjänstekonto, så de förbrukar inte en enskild medlems tilldelning.

Dokumentationssidan anger inte priser eller vilka abonnemang som omfattar Security Agents. Kontrollera tillgängligheten i ditt konto och se hur mycket de första körningarna förbrukar från teamets pool innan du aktiverar dem i alla kodförråd.

Så skiljer sig Security Reviewer från /review-security och Bugbot#

De här mekanismerna har liknande syften, men startar på olika sätt.

/review-security och /review kan köras manuellt från agenten innan du skickar kod till ett fjärrkodförråd. Som standard granskar /review-security grenens ändringar jämfört med basgrenen, både ändringar som redan sparats i incheckningar och ändringar som ännu inte har checkats in. Du kan be den att begränsa granskningen till de senare. Kommandona finns i Cursor 3.7 och senare, på cursor.com/agents och i Cursor CLI. Du bestämmer när granskningen ska köras.

Security Reviewer är en agent i Automations som körs automatiskt när en Git-utlösare aktiveras.

Bugbot är en separat Cursor-produkt för PR-granskning. Enligt dokumentationen letar den efter buggar, sårbarheter och problem med kodkvalitet och lämnar kommentarer med förklaringar och förslag på åtgärder. Den körs automatiskt när en PR uppdateras eller manuellt.

Security Agents är utformade för säkerhetskontroller: de har inbyggda kontroller, schemalagda skanningar av hela kodförrådet och en lista Flagged Vulnerabilities med statusar och allvarlighetsgrader. Dokumentationen jämför inte kvaliteten på resultaten från Bugbot och Security Agents.

Rollouts: övervakning efter driftsättning#

Vad Rollouts gör

När en pull request öppnas läser Rollouts ändringarna och de berörda systemen och skapar en plan för övervakning av driftsättningen. Planen listar de risker som identifierats, ändringens förväntade effekt, signaler att kontrollera och luckor i datainsamlingen som gör ändringen svår att verifiera. På GitHub, GitLab.com och Bitbucket Cloud visas planen som en PR-kommentar.

Rollouts kör kontroller vid driftsättningshändelser och jämför planen med loggar, mätvärden och spårningar. Varje miljö spåras separat: en ändring kan klara kontrollerna i en testmiljö och ändå flaggas som problematisk i produktion. Kontroller körs vid driftsättningen och sedan efter 20 minuter, 1 timme, 1 dag och 3 dagar.

Om en regression upptäcks identifierar Rollouts ändringen som den misstänker orsakade den, öppnar ett ärende och meddelar upphovspersonen. På ärendesidan startar knappen Fix issue en molnagent. Rollouts slår inte själv samman, återställer eller rullar tillbaka ändringar.

Så konfigurerar du Rollouts

1. I Automations klickar du på Enable på Rollouts-kortet under From Cursor.
2. Välj vilka kodförråd som ska övervakas. Du kan ange upp till 200 kodförråd i inställningarna.
3. Konfigurera driftsättningshändelser: Rollouts behöver veta när varje produktionsdriftsättning startar och avslutas. Skapa en Cursor API-nyckel och spara den som en hemlighet i byggsystemet (CI) under namnet CURSOR_API_KEY. Därefter finns två alternativ: lägg till anropen manuellt i driftsättningsprocessen (kommandona finns i avsnittet Send deployment events i dokumentationen om Rollouts) eller be konfigurationsagenten att göra det. Agenten öppnar en PR som innehåller dessa anrop. Slå samman den PR:en för att slutföra konfigurationen.
4. Anslut telemetri, till exempel Datadog. Minst ett anslutet verktyg krävs.
5. Välj hur PR-författare ska få aviseringar.

Begränsningar som är lätta att missa

Utan ansluten telemetri förblir ändringar väntande och Rollouts kan inte upptäcka problem. Om projektet ännu inte har Datadog eller ett liknande övervakningssystem behöver du ordna det först.

Slack-aviseringar är inte tillgängliga i Privacy Mode. En teamadministratör måste först lägga till Rollouts i Slack.

Vem behöver detta och vem bör vänta#

Om du arbetar ensam kontrollerar du om Security Agents är tillgängligt i ditt konto innan du aktiverar det: användningen tas från teamets pool, och dokumentationssidan anger inte vilka abonnemang som är berättigade. Du startar själv åtgärden för en sårbarhet som skannern hittar: Fix in Cursor öppnar en molnagent som arbetar i kodförrådet.

Enligt dokumentationen är Rollouts endast tillgängligt med Teams- och Enterprise-abonnemang. Om du ännu inte har ett övervakningssystem som Datadog börjar du med det och ansluter Rollouts efteråt.

Mer information om Cursor-abonnemang finns i vad ett Cursor-abonnemang innehåller. Om du redan har konfigurerat uppgiftssamordning mellan agenter i Cursor kan du läsa Cursor Projects: så delegerar samordnaren uppgifter.

Sammanfattning#

Security Reviewer granskar PR:er före sammanslagning; Vulnerability Scanner skannar hela kodförrådet enligt ett schema. Användningen för båda agenttyperna dras från teamets pool. Rollouts övervakar en ändring efter driftsättning, är tillgängligt med Teams- och Enterprise-abonnemang och kräver minst en ansluten telemetrikälla.

Lär känna Ailoot.