Cursor Security Review 與 Rollouts 怎麼開：9 月 23 日上線，附 Origin 市場提交要點
Cursor Security Review 是 Cursor 在 2026 年 9 月 23 日隨 Rollouts 一起推出的 PR 安全審查機器人：每個 PR 評論一次，只報告可利用的漏洞，並給出嚴重級別、攻擊路徑和修復建議。兩者目前面向 Teams 和 Enterprise 套餐。10 月 13 日，Origin 應用市場又開放了公開提交。以下內容截至 2026 年 10 月，均以 Cursor 官方 changelog 為準。
Security Review 具體做什麼？
按官方說明，它會結合整個程式碼庫的上下文審查每個 PR，並在 PR 裡留一條評論。覆蓋範圍包括：
- SQL、命令、模板等注入
- 認證與授權繞過
- 被提交進倉庫的金鑰
- SSRF 與開放重定向
- 不安全的反序列化
- 帶已知漏洞的依賴
每條發現帶有嚴重級別、攻擊路徑和修復建議。官方描述的是可利用的漏洞，不是程式碼風格問題。
兩個細節要留意：草稿 PR 會被跳過，所以草稿階段不會有掃描結果；團隊可以自定義程式碼庫規則，每個 PR 都會按規則檢查。
Rollouts 又是什麼？
Rollouts 關注的是合併之後的“最後一公里”。PR 開啟時，它會以評論形式寫一份監控計劃，列出識別到的風險、預期影響、將檢查的訊號以及埋點缺口。你可以直接編輯這份計劃，它會採用你修改後的版本。
程式碼部署後，它按部署環境給出三種結論：verified healthy（確認健康）、regression detected（檢測到迴歸）、inconclusive（無法判定）。發現迴歸時，它會指出可疑改動並通知作者；按配置，可以開一個 revert PR 供人審閱，或把問題交給雲端 Agent。官方明確寫道，Rollouts 目前不會自行合併或回滾。
接入需要三類系統：原始碼管理（Origin 或 GitHub）、部署系統（提供部署事件）、遙測（如 Datadog 等）。功能開關整合標註為“即將推出”。
怎麼開啟？要多少許可權？
官方說明裡，Security Review 在控制檯裡為選定的倉庫開啟，Rollouts 在 automations 標籤頁開啟，具體入口以 Cursor 當前介面為準。官方還提到限時贈送試用額度，約覆蓋 Teams 50 次變更、Enterprise 500 次變更，持續 10 天。計費和額度以官方頁面為準。
可以按下面的順序檢查：
| 步驟 | 檢查項 |
|---|---|
| 1 | 先選 1 到 2 個非核心倉庫開啟 Security Review，而不是全組織鋪開 |
| 2 | 確認倉庫授權範圍，只授予這些倉庫，不給全部倉庫 |
| 3 | 開啟 Rollouts 前，確認部署系統和遙測賬號的許可權是否只讀，必要時單獨建服務賬號 |
| 4 | 寫 1 到 3 條自定義規則，例如團隊已知的內部鑑權約定 |
| 5 | 不採納某條發現時填寫關閉理由（官方說明，帶理由關閉後該發現不會在同一 PR 再次提出） |
| 6 | 一週後統計誤報與有效發現的比例，再決定是否擴大範圍 |
誤報和漏報怎麼看待？
官方 changelog 沒有給出誤報率，這裡不做數字判斷。實際使用時建議這樣處理：
- 把它當作多一道檢查，而不是安全結論。它每個 PR 只評論一次，覆蓋的是官方列出的幾類問題，業務邏輯漏洞、配置問題仍需要人工評審和既有的 SAST、依賴掃描。
- 收到“可利用”結論時，先按它給的攻擊路徑復現，再決定是否修。
- Rollouts 給出 inconclusive 時，可以先看監控計劃裡列出的“埋點缺口”和它檢查的訊號，是否有你的服務沒接上的部分。
Origin 應用市場開放提交意味著什麼？
10 月 13 日，Origin 應用市場接入 20 多個開發工具，官方列出的合作方包括 Cloudflare、Linear、Sentry、Socket Security，還有 Vercel、Netlify、CircleCI、CodeRabbit、Semgrep 等，涵蓋部署、CI、程式碼審查、安全、監控和專案管理。同時開放公開提交。
想提交自己應用的團隊，官方流程是：
- 在自己的名稱空間下建立應用，構建期間保持私有。
- 基於 Origin API 開發（官方描述的應用會使用 app JWT 和安裝訪問令牌，接收 webhook 事件，並寫入檢查結果、PR 評論和審查），細節以官方 Origin API 文件為準。
- 設為公開後，在應用頁面提交 slug、建議標籤和演示影片，影片需展示安裝、解除安裝和核心流程。
- Cursor 稽覈透過後上架。
釋出指南和 Origin API 參考在官方 changelog 該條目中有連結。作為使用者，裝第三方應用前同樣要看它請求的許可權範圍。
同期 GitHub Copilot 有什麼變化？
GitHub 在 10 月 2 日的 changelog 裡宣佈，Copilot code review 可以透過 REST 和 GraphQL API 發起，並可在每次請求中設定審查強度。“Default”強度現在對應 Balanced（9 月 28 日生效），此前明確選了 Lite 的倉庫或組織保持不變。該功能面向 Copilot Pro、Pro+、Max、Business 和 Enterprise。兩家的做法不同，這裡不做優劣比較，只提示：如果你的團隊同時使用兩邊，注意別讓同一個 PR 收到多份重疊的評論。
相關閱讀與工具
- 想了解 Cursor 近期的其他功能：Cursor 能用手機遙控本地 Agent 了
- Agent 跑命令前的隔離：Copilot 本地沙箱正式可用
- 遇到 Cursor 限流或降級：Cursor 用不了、頻繁 429？10 月幾次降級
- AI 工具的資料處理條款：AI API 資料隱私怎麼判斷
- 想看服務當前是否正常：/down/cursor；官方更新記錄可在 /changes 檢視。
