roobrief開発者のためのITニュース

開発・リリース

Cursorのエージェント命令は社内マシンで実行できるが、脆弱性検査はCursorクラウドで動く

クラウドエージェントのツール実行は社内マシンに置けるが、モデルが答えを出すために読むファイル内容まで社内に残るわけではない。

Cursorは9月に企業向け機能を二つ公開した。9月2日はSelf-Hosted Machinesだ。クラウドのAIエージェント（ユーザーの代わりに複数の手順を自分で進めるAI）がファイルを直しコマンドを実行する処理を、会社が持つコンピュータへ移す。9月23日はSecurity ReviewをTeamsプランとEnterpriseプランで開いた。Security Reviewはプルリクエスト（レビューのあと本体のコードへ取り込むための変更提案）から悪用可能なバグを探す。

画面上の要素を指して直すDesign Modeと、エディタで会話を並べるAgent Tabsは、この9月の発表ではない。Design Modeは4月2日のCursor 3で初登場し、6月5日に複数選択と音声説明が加わった。Agent Tabsも4月2日のCursor 3更新履歴にある。

画面の要素を指してエージェントに渡す

Design Modeは通常のWebブラウザではなく、Agents Window内のブラウザで使う。MacではCmd+Shift+Dでオン・オフする。Windows用のショートカットは文書にない。

要素を一つクリックすると、その要素と背後のコードがエージェントに渡る。6月5日からは複数の要素を選んで「こちらをあちらに合わせろ」のように指示でき、次の修正を声で入れてもよい。エージェントの作業中もマイクは開いたままだ。領域を丸で囲むと、印は止めた画面の上に乗り、エージェントはユーザーが見たその場面を基準にする。

選んだ要素では二種類が送られる。ページのどこでどの部品か（パス、部品名、属性、計算済みの見た目、部品が受け取った値）と、周囲の配置が分かる画面キャプチャだ。修正が終わるとアプリを閉じずに画面だけ描き直す。Cursorはこの流れに自社モデルComposer 2.5を勧める。

複数の仕事を見る窓と、エディタ内のタブは別物

Agents Windowは4月2日に一般公開された別画面だ。エディタでCmd+Shift+Pを押し、Open Agents Windowを選ぶ。ローカル、クラウド、リモートSSH（別のコンピュータに接続して作業する方式）のエージェントを一か所で見られ、クラウドでは複数を同時に走らせられる。以前のエディタに戻るには同じ一覧からOpen IDEを選ぶ。公開後2週間だけEnterprise管理者が誰に開くかを制限でき、その期間はすでに終わっている。

エディタ内のAgent Tabsは同じ更新履歴にあるが役割が違う。会話を横並び、または格子状に見る。クラウドで仕事を同時に複数回す画面はAgents Windowだ。

命令は社内マシン、判断はCursorクラウド

9月2日の更新履歴はSelf-Hosted Machinesをこう要約する。ツール実行は社内ネットに置き、コードベース（リポジトリ内のコード全体）とビルド成果物と秘密情報は社内マシンに残る、という内容だ。

Cursorのドキュメント（Self-Hosted Machines）は判断をCursorクラウドに残すと記す。ファイル修正、ターミナル命令、画面クリック、ローカルMCP（AIが外部ツールを使うための接続規格）サーバーの実行はワーカーが担う。ワーカーは仕事を受けて実行するコンピュータだ。何をするかを決め、推論（完成したモデルで答えを生成すること）する過程はCursor側だ。

実行中、ワーカーは必要なファイル内容、ターミナル出力、差分、画面キャプチャ、ローカルMCPの結果、どのマシンへ送るかを決める情報をCursorへ送る。デスクトップ共有をオンにするとその映像も外へ出る。プルリクエストとダッシュボード向けの画面キャプチャ、動画、ログ位置もCursor管理の保存先へ上がる。社内に残るのはリポジトリ全体、ビルドキャッシュ（作り直しを避けるための中間ファイル）、そのマシン上の資格情報だ。秘密情報をツール出力や成果物に入れるな、と文書は書く。

Privacy Modeをオンにすると、ワーカーが送ったコードをCursorとモデル提供者が学習に使わない。コードが外へ出ないという意味ではない。ワーカーは着信ポートを開かず、Cursorへ向かう暗号化されたWeb接続だけでよい。成果物だけ止めたいならcloud-agent-artifacts.s3.us-east-1.amazonaws.comへの送信を塞ぐ。作業は続き、プルリクエストとダッシュボードに成果物が出ないだけだ。

使い方は二つある。

  • My Machinesは個人向けだ。自分のコンピュータをアカウントに接続し、ブラウザログインか個人APIキー（プログラムがログインの代わりに差し出す秘密の文字列）を使う。一台でエージェントを複数動かせる。ダッシュボードに保存した秘密情報はこのワーカーへ下りない。
  • Team Poolsは組織がワーカーをまとめる方式で、CursorのドキュメントはEnterpriseプランを求める。認証はサービスアカウントのAPIキーだけだ。サービスアカウントは個人ではなくチームが使うアカウントだ。許可をオンにするとリクエストごとに選べ、選ばなければCursorのインフラで動く。必須にするとクラウドエージェントの実行はすべて自前ワーカーへ行く。プールではエージェント一つにつきマシン一台だ。

9月2日の更新履歴が例に挙げた環境はAWS Lambda、Coder、Cloudflare、Daytona、Modal、Namespace、Vercel、E2Bだ。ドキュメントにはKubernetes（多数のコンテナをまとめて管理するオープンソースの仕組み）の例もある。接続上限はユーザーあたり200台、チームあたり1,000台だ。モデル料金はそのままで、マシン費用は会社が別途払う。Cursor管理のエージェントには実行マシンの費用が含まれる。

文書はほとんどのチームに管理型クラウドエージェントを先に勧める。Self-Hostはコードがネット外に触れてはいけない場合や、GPUやiPhone・iPadアプリ開発用のMacが必要なときだ。非公開のGitサーバーや社内パッケージ置き場だけが問題なら、自前ワーカーより、管理型エージェントから社内ネットへ入る専用接続を先に見よ、とある。例はAWS PrivateLinkとCloudflare Tunnelだ。

変更提案から悪用可能なバグを探す

Security Reviewは9月23日にTeamsとEnterpriseで開いた。ダッシュボードでリポジトリを選ぶと、下書きでないプルリクエストをコードベースの文脈で読み、悪用可能なバグをレビューコメント一つで残す。スタイルと品質は従来のBugbotが見る。自動でマージしたりコードを直したりはしない。

この検査は社内マシンでは動かない。Security Agentsの文書は、Security Reviewとリポジトリの脆弱性スキャンがクラウドエージェント上で動き、追加のセットアップなしでCursorクラウドを使うと書く。クラウドエージェントは、許可されたリポジトリをCursorクラウドの仮想マシンに複製する。その複製は実行終了ですぐ消えず、スナップショットは30日間使われないと消える。例外が一つある。プルリクエストのイベントで起動するチームのSecurity Reviewは、クラウドエージェントではなくCursor管理のホスティングで動く。それでも社内マシンではない。そのホストがリポジトリ全体を複製するかは、この文書にはない。

範囲は次のとおりだ。データベース問い合わせ、シェル命令、画面を作る枠への攻撃文の注入。ログインや権限検査の抜け、整理のあと検査が動かなくなる場合。ソースに上がった秘密情報。SSRF（サーバーが攻撃者の指定したアドレスへ代わりにリクエストを送る問題）と、確認なしに別アドレスへ送る応答。保存したデータをプログラム内の値に戻すときに危険なデータが混ざる場合。既知の脆弱性を持ち込むライブラリ変更。ユーザー入力がどこから入り何を通るかの追跡。

項目ごとに危険度、攻撃の道筋、提案する修正が付く。理由を書いて閉じると、そのプルリクエストでは同じ指摘を再掲しない。チーム規則を入れると毎回のプルリクエストに適用される。たとえば外部呼び出しは決めたクライアント経由にせよ、ある表はリクエスト処理コードから照会するな、といった内容だ。別料金はこの発表にはない。

同日、RolloutsもTeams・Enterpriseで開いた。デプロイ時に環境ごとに正常か、以前より悪いか、判断できないかを報告する。自分でマージやロールバックはせず、設定次第で戻すプルリクエストをレビュー用に開いたり、修正をクラウドエージェントに渡したりできる。ソース管理はOriginまたはGitHub、信号はDatadogなどにつなぐ。フィーチャーフラグ（機能をユーザーごとにオン・オフするスイッチ）の接続は「近日」とだけあり、10月16日時点で開いたかは確認できなかった。試験クレジットは発表日から10日、Teams約50件、Enterprise約500件だった。10月16日にはその期間は終わっており、その後クレジットが残ったかは確認できなかった。

確認できなかった点と、注意したい点

  • これらの機能を一度の大規模更新と見るのは正しくない。画面操作は4月2日と6月5日、Self-Hostは9月2日、Security Reviewは9月23日だ。
  • 「コードとビルド成果物が外へ出ない」は、Cursorのドキュメントより広い。リポジトリ全体とビルドキャッシュ、マシン上の資格情報は残り、実行に必要なファイル内容と成果物はCursorへ出る。
  • Self-HostがTeamsとEnterpriseに同時に開いたという説明も、Cursorのドキュメントと違う。Team PoolsはEnterpriseプランだ。9月2日の更新履歴はチームや企業向けの待ち行列とだけ書いており、Teamsプランが含まれるかは、その文だけでは確定できない。
  • セキュリティ重視の企業顧客の採用が速まったという数値や公式発表は確認できなかった。
  • Security Reviewがすべての脆弱性を防ぎ、見つけたバグを自ら直すという説明もCursorの発表にはない。

開発者に起こりうる変化

以下は報道をもとにした筆者の推測と助言だ。

  • セキュリティ審査の文書に「コードは出ない」と書かない。 残るものと出るものをCursorのドキュメントで分ける。成果物のアップロードを止めるかは、その保存先への送信を別に塞ぐかで見る。
  • Team PoolsにはEnterpriseプランとマシン運用費が要る。 モデル料金はそのままだ。自分のコンピュータで試す道はMy Machinesだ。文書がほとんどのチームに勧める基本は、いまもCursor管理のクラウドエージェントだ。
  • Security Reviewは社内マシンでは動かない。 リポジトリごとにオンにし、下書きのプルリクエストは対象外だ。閉じた指摘はそのプルリクエストでは再掲されないので、閉じる前に理由を残す。スタイルと品質はBugbot側だ。
  • Design Modeはエディタだけ開いても見えない。 Agents WindowのブラウザでCmd+Shift+Dを押す。ショートカット表は文書にMac基準しかない。

今後の注目点

フィーチャーフラグとRolloutsの接続が開いたか、Security Reviewの料金と誤検知の割合が公開されるか、推論に使うファイル内容まで社内に残す選択肢が出るかだ。

出典

出典: cursor.com

← 戻る