Security Agents và Rollouts trong Cursor: Kiểm tra bảo mật và theo dõi phát hành

Trong Cursor Automations, bạn có thể cấu hình các bước kiểm tra bảo mật mã và theo dõi phát hành. Security Agents đánh giá các yêu cầu kéo (PR) và quét toàn bộ kho mã theo lịch. Rollouts theo dõi một thay đổi sau khi triển khai, có trong các gói Teams và Enterprise, đồng thời yêu cầu kết nối telemetry: log, chỉ số và trace.

Dưới đây là các bước thiết lập dựa trên tài liệu chính thức của Cursor, cách tính mức sử dụng Security Agents, các giới hạn của gói và điểm khác biệt giữa chúng với Bugbot cũng như lệnh /review-security chạy thủ công.

Thông tin về cách sử dụng Ailoot có trong tài liệu.

Security Agents trong Cursor là gì#

Loại tác nhân quyết định cách bắt đầu một lượt kiểm tra:

• Security Reviewer được kích hoạt bởi các sự kiện Git: yêu cầu kéo hoặc yêu cầu hợp nhất.
• Vulnerability Scanner chạy theo lịch cron và quét codebase độc lập với hoạt động PR.

Cron cho phép bạn lên lịch chạy scanner định kỳ.

Cách bật Security Reviewer và Vulnerability Scanner#

Các bước

1. Mở Security Agents trong Automations (phần này được mô tả trong tài liệu Security Agents).
2. Chọn loại tác nhân: Security Reviewer (đánh giá PR) hoặc Vulnerability Scanner (quét theo lịch).
3. Với Security Reviewer, cấu hình trình kích hoạt Git: sự kiện yêu cầu kéo hoặc yêu cầu hợp nhất. Với Vulnerability Scanner, cấu hình lịch cron.
4. Bật hoặc tắt các bước kiểm tra bảo mật tích hợp sẵn: cả hai loại tác nhân đều có các bước này và bạn có thể điều chỉnh bộ kiểm tra cho phù hợp với nhiệm vụ.
5. Kết nối một công cụ hoặc máy chủ MCP: các kết nối này cho phép tác nhân kết nối với hệ thống mà nhóm dùng để quản lý công việc bảo mật. Security Reviewer bắt buộc phải có kết nối này: bạn không thể lưu nếu chưa kết nối ít nhất một công cụ hoặc MCP. Có thể lưu Vulnerability Scanner mà không cần các kết nối đó; scanner sẽ gửi kết quả phát hiện vào danh sách Flagged Vulnerabilities.
6. Lưu tác nhân.

Công cụ và MCP cho phép bạn gửi các lỗ hổng do tác nhân phát hiện đến kênh Slack, trình theo dõi vấn đề hoặc một hệ thống khác đã kết nối.

Xác minh

Lịch sử Automations cho biết thời điểm mỗi tác nhân chạy, các công cụ đã sử dụng, kết quả của lượt chạy và thời gian thực hiện. Với lượt kiểm tra Security Reviewer chạy trên hạ tầng lưu trữ của Cursor, hãy xem Recent Runs trên trang Security Agents: bạn có thể mở phiên đánh giá ở chế độ chỉ đọc.

Các phát hiện của Vulnerability Scanner xuất hiện trong Flagged Vulnerabilities trên trang Security Agents và trang của từng scanner. Danh sách được nhóm theo kho mã; bạn có thể lọc phát hiện theo scanner, trạng thái, phản hồi và mức độ nghiêm trọng. Mỗi phát hiện có thao tác Fix in Cursor để khởi chạy một cloud agent sửa lỗ hổng.

Lỗi

Nếu không lưu được Security Reviewer, hãy kiểm tra xem đã cấu hình ít nhất một kết nối công cụ hoặc MCP chưa: nếu không có kết nối, thao tác lưu sẽ thất bại.

Ai trả phí cho các lượt kiểm tra: mức sử dụng Security Agents#

Theo tài liệu, mức sử dụng Security Agents được trừ vào hạn mức sử dụng của nhóm. Các tác nhân chạy dưới tài khoản dịch vụ dùng chung của nhóm nên không tiêu tốn hạn mức cá nhân của từng thành viên.

Trang tài liệu không nêu giá hoặc những gói nào bao gồm Security Agents. Trước khi bật trên tất cả kho mã, hãy kiểm tra tính khả dụng trong tài khoản của bạn và xem các lượt chạy đầu tiên tiêu tốn bao nhiêu từ hạn mức chung của nhóm.

Security Reviewer khác gì với /review-security và Bugbot#

Các cơ chế này có mục tiêu tương tự nhưng được khởi chạy theo những cách khác nhau.

/review-security và /review có thể được chạy thủ công từ tác nhân trước khi đẩy mã lên một kho mã từ xa. Theo mặc định, /review-security kiểm tra các thay đổi trong nhánh so với nhánh cơ sở, bao gồm cả những thay đổi đã lưu trong các commit và những thay đổi chưa được commit. Bạn có thể yêu cầu công cụ chỉ giới hạn lượt đánh giá ở các thay đổi chưa được commit. Các lệnh này có trong Cursor 3.7 trở lên, trên cursor.com/agents và trong Cursor CLI. Bạn quyết định khi nào chạy lượt đánh giá.

Security Reviewer là tác nhân trong Automations, tự động chạy khi có trình kích hoạt Git.

Bugbot là một sản phẩm riêng của Cursor để đánh giá PR. Theo tài liệu, công cụ này tìm lỗi, lỗ hổng và vấn đề về chất lượng mã, đồng thời để lại bình luận kèm giải thích và đề xuất sửa lỗi. Công cụ tự động chạy mỗi khi PR được cập nhật hoặc có thể được chạy thủ công.

Security Agents được thiết kế để kiểm tra bảo mật: chúng có các bước kiểm tra tích hợp sẵn, quét toàn bộ kho mã theo lịch và danh sách Flagged Vulnerabilities có trạng thái cùng mức độ nghiêm trọng. Tài liệu không so sánh chất lượng phát hiện giữa Bugbot và Security Agents.

Rollouts: theo dõi sau khi triển khai#

Rollouts làm gì

Khi một yêu cầu kéo được mở, Rollouts đọc các thay đổi và hệ thống bị ảnh hưởng rồi tạo kế hoạch theo dõi triển khai. Kế hoạch liệt kê các rủi ro được nhận diện, tác động dự kiến của thay đổi, các tín hiệu cần kiểm tra và những khoảng trống trong việc thu thập dữ liệu khiến thay đổi khó được xác minh. Trên GitHub, GitLab.com và Bitbucket Cloud, kế hoạch xuất hiện dưới dạng bình luận trong PR.

Rollouts chạy kiểm tra khi có sự kiện triển khai và đối chiếu kế hoạch với log, chỉ số và trace. Mỗi môi trường được theo dõi riêng: một thay đổi có thể vượt qua các bước kiểm tra trong môi trường thử nghiệm nhưng vẫn bị đánh dấu là có vấn đề trong môi trường production. Các lượt kiểm tra chạy vào thời điểm triển khai, rồi sau 20 phút, 1 giờ, 1 ngày và 3 ngày.

Nếu phát hiện hồi quy, Rollouts xác định thay đổi mà công cụ nghi là nguyên nhân, mở một issue và thông báo cho tác giả. Trên trang issue, nút Fix issue khởi chạy một cloud agent. Rollouts không tự hợp nhất, hoàn nguyên hay quay lui các thay đổi.

Cách cấu hình Rollouts

1. Trong Automations, nhấp Enable trên thẻ Rollouts trong mục From Cursor.
2. Chọn các kho mã cần theo dõi. Bạn có thể chỉ định tối đa 200 kho mã trong phần cài đặt.
3. Cấu hình các sự kiện triển khai: Rollouts cần biết thời điểm mỗi lần triển khai production bắt đầu và kết thúc. Để làm vậy, hãy tạo khóa API Cursor và lưu khóa trong secrets của hệ thống build (CI) với tên CURSOR_API_KEY. Sau đó có hai lựa chọn: tự thêm các lệnh gọi vào quy trình triển khai (các lệnh nằm trong mục Send deployment events của tài liệu Rollouts), hoặc yêu cầu setup agent thực hiện việc đó. Tác nhân sẽ mở một PR chứa các lệnh gọi này. Hợp nhất PR đó để hoàn tất thiết lập.
4. Kết nối telemetry, chẳng hạn như Datadog. Cần có ít nhất một công cụ được kết nối.
5. Chọn cách thông báo cho tác giả PR.

Những hạn chế dễ bị bỏ qua

Nếu không có telemetry được kết nối, các thay đổi vẫn ở trạng thái chờ và Rollouts không thể phát hiện vấn đề. Nếu dự án chưa có Datadog hoặc hệ thống giám sát tương tự, trước tiên bạn cần có hệ thống đó.

Không thể dùng thông báo Slack trong Privacy Mode. Quản trị viên nhóm cần thêm Rollouts vào Slack trước.

Ai nên dùng, ai nên chờ#

Nếu làm việc một mình, hãy kiểm tra xem Security Agents có dùng được trong tài khoản của bạn không trước khi bật: mức sử dụng lấy từ hạn mức chung của nhóm và trang tài liệu không liệt kê các gói đủ điều kiện. Bạn tự khởi chạy việc sửa lỗ hổng do scanner phát hiện: Fix in Cursor mở một cloud agent để làm việc trong kho mã.

Theo tài liệu, Rollouts chỉ có trong các gói Teams và Enterprise. Nếu bạn chưa có hệ thống giám sát như Datadog, hãy bắt đầu với hệ thống đó rồi kết nối Rollouts sau.

Để biết thêm về các gói Cursor, xem gói đăng ký Cursor bao gồm những gì. Nếu bạn đã cấu hình việc điều phối nhiệm vụ giữa các tác nhân trong Cursor, hãy xem Cursor Projects: cách điều phối viên phân công nhiệm vụ.

Tóm tắt#

Security Reviewer đánh giá PR trước khi hợp nhất; Vulnerability Scanner quét toàn bộ kho mã theo lịch. Mức sử dụng của cả hai loại tác nhân được trừ vào hạn mức chung của nhóm. Rollouts theo dõi thay đổi sau khi triển khai, có trong các gói Teams và Enterprise, đồng thời yêu cầu kết nối ít nhất một nguồn telemetry.

Tìm hiểu về Ailoot.