Cursor 推出 Rollouts 与 Security Review 两个自动化 bot

这两个新 bot 到底是什么

2026 年 9 月 23 日，Cursor 官方发布消息，推出两个 Cursor bot：Rollouts 和 Security Review。它们都是闭源服务，现已在团队版和企业版中上线，可以在仪表盘的“自动化”选项卡中启用。简单说，这是两个帮程序员干活的自动小助手。

Rollouts 负责在代码变更部署上线时，实时监控它有没有出问题，并按不同环境报告健康状况。Security Review 负责在每一个 PR（代码合并请求）中检查有没有可被利用的安全缺陷。它们就像给代码交付请了两个小助手，一个盯着上线后有没有毛病，一个在合并前检查有没有安全漏洞。

Rollouts 是怎么工作的

Rollouts 会为每个 PR 附加一个监控项。PR 创建后，它会读取代码改动以及涉及的系统，然后以 PR 评论的形式写一份监控规划，列出识别出的风险、这次变更预期达到的效果、将要检查的信号，以及可能导致变更难以确认的埋点缺口。你可以直接在 PR 中编辑这份规划，Rollouts 会采用你修改后的版本。

当该变更对应的提交触发部署事件时，Rollouts 会被唤醒，基于你的日志、指标和链路追踪数据运行规划。它会分别跟踪每个环境，因此同一变更可能在预发布环境中验证通过，却仍在生产环境中被标记。它会检查变更是否达到预期效果，同时关注错误信息和延迟信号，并在得出结论后将结果反馈到 PR 上。

Rollouts 发现回归后会做什么

当 Rollouts 检测到回归（也就是新代码导致原本正常的功能出问题）时，会指出疑似引发问题的变更，并通知其作者。根据配置，它还可以创建一个回滚 PR 供审查，或者将发现的问题交给云端智能体修复。不过目前 Rollouts 还不会自行合并或回滚，最终决定权仍在人手里。

Rollouts 可以连接 Origin 或 GitHub 进行源代码管理，连接你的持续交付系统以获取部署事件，并连接 Datadog 等遥测供应商以获取信号。功能开关集成即将推出，但官方未说明具体上线时间。

Security Review 检查哪些安全问题

Security Review 会结合整个代码库的上下文读取每个 PR，并发布一条审查评论，报告其中可被利用的缺陷。代码风格和质量问题仍由 Bugbot 负责。草稿 PR 会被跳过。你可以在仪表盘中为需要审查的代码仓库启用该功能。

它会检查 SQL、命令和模板等界面中的注入问题，以及身份验证和授权绕过，包括因代码重构而不再执行的检查。它还会标记提交到源代码中的密钥和凭证、SSRF 与未经验证的重定向、不安全的反序列化，以及引入已知漏洞的依赖变更。此外，它会追踪用户输入从何处进入，以及流经了哪些环节。

Security Review 的报告与团队规则

每个发现项都会标明严重级别、攻击路径和建议的修复方案。如果你忽略某个发现项并注明原因，Security Review 就不会在该 PR 中再次报告它。这样既避免了重复打扰，又保留了审计记录。

你还可以为代码库添加团队规则，例如外部调用必须通过哪个客户端发起，或哪些表绝不能在请求处理程序中查询。Security Review 会在每个 PR 中强制执行这些规则，相当于把团队的安全约定写成自动检查项。

谁能用、怎么开始用

Rollouts 和 Security Reviewer 现已面向团队版和企业版开放。你可以在“自动化”选项卡中启用其中任意一个 bot。未来 10 天内，官方将赠送用量额度，方便团队在真实的代码变更上试用 Rollouts。团队版和企业版客户分别可获得约 50 次和 500 次变更的额度。

需要注意的是，原文未说明这两个 bot 的具体定价、是否面向个人版开放、Rollouts 功能开关集成的具体上线时间，以及 Security Review 的检测准确率数据。赠送额度用尽后的收费标准也未提及。适合使用的人群是团队版和企业版中需要自动化部署监控与安全审查的开发团队。