# Security Agents และ Rollouts ใน Cursor: การตรวจสอบความปลอดภัยและการติดตามการเผยแพร่

> วิธีเปิดใช้งาน Security Reviewer, Vulnerability Scanner และ Rollouts ใน Cursor Automations: ทริกเกอร์ การใช้งานจากโควตารวมของทีม แผนบริการ และความแตกต่างจาก Bugbot

Source: https://ailoot.ai/blog/th/cursor-rollouts-security-agents/
Canonical: https://ailoot.ai/blog/th/cursor-rollouts-security-agents/
Language: th
Publisher: Ailoot (https://ailoot.ai/)
Translation: guide-089
Revision: sha256-f34361fd5ede75df397920ba0320865814a969a84bd91a44f63879c8e6f304cf


ใน Cursor Automations คุณกำหนดค่าการตรวจสอบความปลอดภัยของโค้ดและการติดตามการเผยแพร่ได้ Security Agents ตรวจสอบคำขอดึง (PR) และสแกนทั้ง repository ตามกำหนดเวลา ส่วน Rollouts จะติดตามการเปลี่ยนแปลงหลังจากนำขึ้นใช้งาน มีให้บริการในแผน Teams และ Enterprise และต้องเชื่อมต่อข้อมูล telemetry ได้แก่ logs, metrics และ traces

ด้านล่างนี้คือขั้นตอนการตั้งค่าตามเอกสารอย่างเป็นทางการของ Cursor วิธีคิดการใช้งาน Security Agents ข้อจำกัดของแผนบริการ และความแตกต่างจาก Bugbot กับคำสั่ง `/review-security` แบบเรียกใช้เอง

ดูข้อมูลเกี่ยวกับการใช้ Ailoot ได้ใน[เอกสารประกอบ](https://ailoot.ai/docs/)



## Security Agents ใน Cursor คืออะไร

<div class="aside" data-semantic="key-takeaway" role="note" aria-label="ประเด็นสำคัญสำหรับส่วนนี้">

ประเด็นสำคัญ

Security Agents คือเอเจนต์สองประเภทที่ Cursor จัดการใน Automations โดย Security Reviewer จะตรวจสอบคำขอดึงก่อนรวมโค้ด ส่วน Vulnerability Scanner จะสแกน codebase ตามกำหนดเวลาเพื่อค้นหาช่องโหว่ที่มีอยู่ ปัญหาที่ค้างมานาน และสิ่งที่พลาดไปในระหว่างการตรวจสอบ PR ทั้งสองประเภทต้องใช้ Cloud Agents และทำงานบน Cloud Agents ยกเว้น Security Reviewer ของทีมที่ทำงานเมื่อเกิดเหตุการณ์คำขอดึง การตรวจสอบนั้นทำงานบนโฮสติ้งของ Cursor แทนที่จะทำงานใน cloud agent การใช้งานจะหักจากโควตาการใช้งานของทีม

</div>

ประเภทของเอเจนต์เป็นตัวกำหนดวิธีเริ่มการตรวจสอบ:

- **Security Reviewer** เริ่มทำงานจากเหตุการณ์ Git ได้แก่ คำขอดึงหรือคำขอ merge
- **Vulnerability Scanner** ทำงานตามกำหนดเวลา cron และสแกน codebase โดยไม่ขึ้นกับกิจกรรมของ PR

Cron ช่วยให้คุณกำหนดเวลาการทำงานซ้ำของ scanner ได้

## วิธีเปิดใช้งาน Security Reviewer และ Vulnerability Scanner

### ขั้นตอน

1.  เปิด Security Agents ใน Automations (อธิบายส่วนนี้ไว้ใน[เอกสาร Security Agents](https://cursor.com/docs/security-agents.md))
2.  เลือกประเภทเอเจนต์: Security Reviewer (ตรวจสอบ PR) หรือ Vulnerability Scanner (สแกนตามกำหนดเวลา)
3.  สำหรับ Security Reviewer ให้กำหนด Git trigger เป็นเหตุการณ์คำขอดึงหรือคำขอ merge ส่วน Vulnerability Scanner ให้กำหนดกำหนดเวลา cron
4.  เปิดหรือปิดการตรวจสอบความปลอดภัยที่มีมาให้ ทั้งเอเจนต์สองประเภทมีการตรวจสอบเหล่านี้ และคุณปรับชุดการตรวจสอบให้เหมาะกับงานได้
5.  เชื่อมต่อเครื่องมือหรือเซิร์ฟเวอร์ MCP ซึ่งช่วยให้เอเจนต์เชื่อมต่อกับระบบที่ทีมใช้จัดการงานด้านความปลอดภัย จำเป็นต้องทำสำหรับ Security Reviewer เพราะคุณบันทึกการตั้งค่าไม่ได้หากไม่มีการเชื่อมต่อเครื่องมือหรือ MCP อย่างน้อยหนึ่งรายการ ส่วน Vulnerability Scanner บันทึกได้โดยไม่ต้องเชื่อมต่อ และจะส่งผลการค้นพบไปยังรายการ Flagged Vulnerabilities
6.  บันทึกเอเจนต์

เครื่องมือและ MCP ช่วยให้คุณส่งช่องโหว่ที่เอเจนต์พบไปยังช่อง Slack ระบบติดตาม issue หรือระบบอื่นที่เชื่อมต่อไว้ได้

### การตรวจสอบ

ประวัติ Automations แสดงเวลาที่เอเจนต์แต่ละตัวทำงาน เครื่องมือที่ใช้ ผลการทำงาน และระยะเวลาที่ใช้ หากต้องการตรวจสอบ Security Reviewer ที่ทำงานบนโฮสติ้งของ Cursor ให้ดู **Recent Runs** ในหน้า Security Agents คุณเปิดเซสชันการตรวจสอบในโหมดอ่านอย่างเดียวได้

ผลการค้นพบของ Vulnerability Scanner จะปรากฏใน **Flagged Vulnerabilities** ในหน้า Security Agents และหน้าของ scanner แต่ละตัว รายการนี้จัดกลุ่มตาม repository และคุณกรองผลการค้นหาตาม scanner สถานะ ความคิดเห็น และระดับความรุนแรงได้ แต่ละรายการมีปุ่ม **Fix in Cursor** เพื่อเริ่ม cloud agent สำหรับแก้ไขช่องโหว่

### ข้อผิดพลาด

หากบันทึก Security Reviewer ไม่ได้ ให้ตรวจสอบว่ากำหนดการเชื่อมต่อเครื่องมือหรือ MCP อย่างน้อยหนึ่งรายการแล้ว เพราะการบันทึกจะล้มเหลวหากไม่มีการเชื่อมต่อ





## ใครเป็นผู้จ่ายค่าการตรวจสอบ: การใช้งาน Security Agents

ตามเอกสาร การใช้งาน Security Agents จะหักจากโควตาการใช้งานของทีม เอเจนต์ทำงานภายใต้บัญชีบริการร่วมของทีม จึงไม่ใช้โควตาของสมาชิกแต่ละคน

หน้าเอกสารไม่ได้ระบุราคาหรือแผนบริการใดบ้างที่มี Security Agents ก่อนเปิดใช้งานใน repository ทั้งหมด ให้ตรวจสอบว่าบัญชีของคุณใช้ได้หรือไม่ และดูว่าการทำงานครั้งแรก ๆ ใช้โควตาของทีมไปเท่าใด

## Security Reviewer แตกต่างจาก /review-security และ Bugbot อย่างไร

กลไกเหล่านี้มีเป้าหมายคล้ายกัน แต่เริ่มทำงานด้วยวิธีต่างกัน

**`/review-security` และ `/review`** เรียกใช้ด้วยตนเองจากเอเจนต์ได้ก่อน push โค้ดไปยัง repository ระยะไกล โดยค่าเริ่มต้น `/review-security` จะตรวจการเปลี่ยนแปลงใน branch เทียบกับ base branch รวมทั้งการเปลี่ยนแปลงที่บันทึกไว้ใน commits แล้วและการเปลี่ยนแปลงที่ยังไม่ได้ commit คุณสั่งให้จำกัดการตรวจสอบเฉพาะส่วนหลังได้ คำสั่งเหล่านี้ใช้ได้ใน Cursor 3.7 ขึ้นไป บน cursor.com/agents และใน Cursor CLI คุณเป็นผู้กำหนดว่าจะเรียกใช้การตรวจสอบเมื่อใด

**Security Reviewer** คือเอเจนต์ใน Automations ที่ทำงานโดยอัตโนมัติเมื่อเกิด Git trigger

**Bugbot** เป็นผลิตภัณฑ์แยกต่างหากของ Cursor สำหรับตรวจสอบ PR ตามเอกสาร Bugbot จะค้นหาบั๊ก ช่องโหว่ และปัญหาด้านคุณภาพโค้ด พร้อมแสดงความคิดเห็นพร้อมคำอธิบายและแนวทางแก้ไข โดยจะทำงานอัตโนมัติทุกครั้งที่มีการอัปเดต PR หรือจะเรียกใช้ด้วยตนเองก็ได้

Security Agents ออกแบบมาสำหรับการตรวจสอบความปลอดภัย โดยมีการตรวจสอบที่มาพร้อมระบบ การสแกน repository ทั้งหมดตามกำหนดเวลา และรายการ Flagged Vulnerabilities ที่มีสถานะกับระดับความรุนแรง เอกสารไม่ได้เปรียบเทียบคุณภาพของผลการค้นพบจาก Bugbot กับ Security Agents

## Rollouts: การติดตามหลังนำขึ้นใช้งาน

<div class="aside" data-semantic="key-takeaway" role="note" aria-label="ประเด็นสำคัญสำหรับส่วนนี้">

ประเด็นสำคัญ

Rollouts (มีให้บริการเฉพาะแผน Teams และ Enterprise) จะเขียนแผนการติดตามเมื่อเปิด PR และหลังนำการเปลี่ยนแปลงขึ้นใช้งาน จะตรวจสอบการเปลี่ยนแปลงเทียบกับ telemetry (logs, metrics และ traces) โดยตรวจทันที จากนั้นตรวจอีกครั้งหลัง 20 นาที 1 ชั่วโมง 1 วัน และ 3 วัน หากพบ regression ซึ่งหมายถึงผลที่แย่ลงหลังการเปลี่ยนแปลง ระบบจะเปิด issue และคุณคลิกปุ่มเพื่อเริ่ม cloud agent ให้แก้ไขได้ Rollouts ไม่ได้ merge, revert หรือ rollback การเปลี่ยนแปลงเอง หากไม่มี telemetry ที่เชื่อมต่อไว้ การเปลี่ยนแปลงจะยังค้างอยู่ และ Rollouts จะตรวจหาปัญหาไม่ได้

</div>

### Rollouts ทำอะไร

เมื่อมีการเปิดคำขอดึง Rollouts จะอ่านการเปลี่ยนแปลงและระบบที่ได้รับผลกระทบ แล้วสร้างแผนติดตามการนำขึ้นใช้งาน แผนจะระบุความเสี่ยงที่ตรวจพบ ผลกระทบที่คาดว่าจะเกิดจากการเปลี่ยนแปลง สัญญาณที่ต้องตรวจสอบ และช่องว่างในการเก็บข้อมูลที่ทำให้ตรวจสอบการเปลี่ยนแปลงได้ยาก บน GitHub, GitLab.com และ Bitbucket Cloud แผนจะแสดงเป็นความคิดเห็นใน PR

Rollouts เรียกใช้การตรวจสอบเมื่อเกิดเหตุการณ์นำขึ้นใช้งาน แล้วเปรียบเทียบแผนกับ logs, metrics และ traces แต่ละสภาพแวดล้อมจะติดตามแยกกัน การเปลี่ยนแปลงอาจผ่านการตรวจสอบในสภาพแวดล้อมทดสอบ แต่ยังถูกแจ้งว่าเป็นปัญหาในสภาพแวดล้อม production ได้ การตรวจสอบจะทำในเวลาที่นำขึ้นใช้งาน จากนั้นหลัง 20 นาที 1 ชั่วโมง 1 วัน และ 3 วัน

หากพบ regression Rollouts จะระบุการเปลี่ยนแปลงที่สงสัยว่าเป็นสาเหตุ เปิด issue และแจ้งผู้เขียน ในหน้า issue ปุ่ม **Fix issue** จะเริ่ม cloud agent Rollouts ไม่ได้ merge, revert หรือ rollback การเปลี่ยนแปลงเอง

### วิธีตั้งค่า Rollouts

1.  ใน Automations คลิก **Enable** บนการ์ด Rollouts ในส่วน **From Cursor**
2.  เลือก repository ที่ต้องการติดตาม คุณระบุ repository ได้สูงสุด 200 รายการในการตั้งค่า
3.  กำหนดเหตุการณ์การนำขึ้นใช้งาน Rollouts ต้องทราบว่าการนำขึ้นใช้งาน production แต่ละครั้งเริ่มและเสร็จเมื่อใด ให้สร้าง Cursor API key แล้วบันทึกไว้ใน secrets ของระบบ build (CI) ในชื่อ `CURSOR_API_KEY` จากนั้นเลือกได้สองวิธี คือเพิ่มการเรียกใช้ลงในกระบวนการนำขึ้นใช้งานด้วยตนเอง (คำสั่งอยู่ในส่วน Send deployment events ของ[เอกสาร Rollouts](https://cursor.com/docs/rollouts.md)) หรือให้ setup agent ดำเนินการให้ เอเจนต์จะเปิด PR ที่มีการเรียกใช้เหล่านี้ ให้ merge PR นั้นเพื่อสิ้นสุดการตั้งค่า
4.  เชื่อมต่อ telemetry เช่น Datadog ต้องมีเครื่องมือที่เชื่อมต่อไว้อย่างน้อยหนึ่งรายการ
5.  เลือกวิธีรับการแจ้งเตือนสำหรับผู้เขียน PR

### ข้อจำกัดที่มักมองข้าม

หากไม่มี telemetry ที่เชื่อมต่อไว้ การเปลี่ยนแปลงจะยังค้างอยู่และ Rollouts จะตรวจหาปัญหาไม่ได้ หากโปรเจ็กต์ยังไม่มี Datadog หรือระบบ monitoring ที่คล้ายกัน คุณต้องจัดเตรียมระบบนั้นก่อน

การแจ้งเตือน Slack ใช้ไม่ได้ใน Privacy Mode ผู้ดูแลทีมต้องเพิ่ม Rollouts ไปยัง Slack ก่อน

## ใครควรใช้ และใครควรรอก่อน

หากคุณทำงานคนเดียว ให้ตรวจสอบว่า Security Agents ใช้ได้ในบัญชีของคุณหรือไม่ก่อนเปิดใช้งาน เพราะการใช้งานหักจากโควตารวมของทีม และหน้าเอกสารไม่ได้ระบุแผนบริการที่มีสิทธิ์ใช้งาน คุณต้องเริ่มการแก้ไขช่องโหว่ที่ scanner พบด้วยตนเอง โดย **Fix in Cursor** จะเปิด cloud agent ให้ทำงานใน repository

ตามเอกสาร Rollouts มีให้บริการเฉพาะแผน Teams และ Enterprise หากคุณยังไม่มีระบบ monitoring เช่น Datadog ให้เริ่มจากระบบนั้นก่อน แล้วค่อยเชื่อมต่อ Rollouts

ดูข้อมูลเพิ่มเติมเกี่ยวกับแผน Cursor ได้ที่[สิ่งที่รวมอยู่ในสมาชิก Cursor](https://ailoot.ai/blog/th/cursor-subscription/) หากคุณตั้งค่าการประสานงานงานระหว่างเอเจนต์ใน Cursor ไว้แล้ว โปรดดู [Cursor Projects: วิธีที่ผู้ประสานงานมอบหมายงาน](https://ailoot.ai/blog/th/cursor-projects-coordinator-agents/)

## สรุป

Security Reviewer ตรวจสอบ PR ก่อน merge ส่วน Vulnerability Scanner สแกน repository ทั้งหมดตามกำหนดเวลา การใช้งานเอเจนต์ทั้งสองประเภทหักจากโควตารวมของทีม Rollouts ติดตามการเปลี่ยนแปลงหลังนำขึ้นใช้งาน มีให้บริการในแผน Teams และ Enterprise และต้องมีแหล่ง telemetry ที่เชื่อมต่อไว้อย่างน้อยหนึ่งแหล่ง

<div class="section" role="doc-bibliography" aria-label="แหล่งที่มา">

### แหล่งที่มา

- Cursor Docs, Security Agents: <https://cursor.com/docs/security-agents.md>
- Cursor Docs, Rollouts: <https://cursor.com/docs/rollouts.md>
- Cursor Docs, Bugbot: <https://cursor.com/docs/bugbot.md>

</div>





ทำความรู้จักกับ [Ailoot](https://ailoot.ai/)

## คำถามที่พบบ่อย

### ทำไมบันทึก Security Reviewer ไม่ได้?

การตั้งค่าที่อธิบายต้องมีเครื่องมือหรือเซิร์ฟเวอร์ MCP ที่เชื่อมอย่างน้อยหนึ่งตัว ตรวจการเชื่อมก่อนบันทึก ส่วน Vulnerability Scanner เผยแพร่ข้อค้นพบไป Flagged Vulnerabilities ได้โดยไม่ต้องเชื่อมนั้น

### Rollouts ย้อนการ deploy ที่ผิดอัตโนมัติหรือไม่?

ไม่ทำ มันเทียบการเปลี่ยนแปลงกับ telemetry ที่เชื่อมและเปิด issue เมื่อพบ regression ได้ คุณเริ่มเอเจนต์คลาวด์จาก Fix issue ได้ แต่ Rollouts ไม่ merge, revert หรือ rollback เอง


## Ailoot · บริษัทและพอร์ตโฟลิโอโครงการของบริษัท

Ailoot อาศัยประสบการณ์การดำเนินงานที่สั่งสม ฐานลูกค้าขนาดใหญ่ บริการที่เสถียร และการติดตาม KPI อย่างต่อเนื่อง

บริษัทและพอร์ตโฟลิโอโครงการของบริษัท: ลูกค้าหลายล้านราย; ยอดขายระดับหลายพันล้านต่อเดือน.

Ailoot นำประสบการณ์การดำเนินงานนี้มาใช้เพื่อให้เข้าถึงฟังก์ชัน AI ผ่าน API ในผลิตภัณฑ์ของลูกค้า เอเจนต์ แอปพลิเคชัน และระบบอัตโนมัติ