Cursor、本番監視と脆弱性修正を自動化する開発ボット「Rollouts」「Security Reviewer」を提供開始
要点
- AIコードエディタを提供するCursorは、安全なコードデプロイを支援する自律型ボット「Rollouts」および「Security Reviewer」を発表した。
- 「Rollouts」はPR作成から本番環境の稼働までを監視し、局所的なリグレッションの早期検知や自動的なリバートPR作成などを実行する。
- 「Security Reviewer」はコード全体の文脈を踏まえて脆弱性を検知し、攻撃経路の解説とともにワンクリックで適用可能な修正案を提示する。
- 内部データによると、Security Reviewerの導入によりレビュー時間が4.8分から3.8分へ短縮し、指摘の受け入れ率も向上したという。
- 両機能はTeamsプランおよびEnterpriseプラン向けに提供が開始されている。
AIコードエディタを手がけるCursorは2026年9月23日、安全で信頼性の高いコードを本番環境へ迅速に届けるためのソフトウェア開発ボット「Rollouts」と「Security Reviewer」をリリースしたと発表した。コードの生成にとどまらず、プルリクエスト（PR：コードの変更差分を統合するための提案）作成後の監視やセキュリティ検証といった工程を自律的に担うツールとして提供される。
コード作成後の「ラストワンマイル」を自動化する背景
同社は開発の背景について、AIなどの普及によってコードを書く作業自体は高速化したものの、PR作成以降のプロセスに依然として多くの時間が割かれている現状を指摘している。具体的には、コードの安全性の確認やデプロイ後の監視、レイテンシ増加の原因特定、複数の変更の中から障害要因を切り分ける作業などが挙げられている。
これらの作業は反復的でありながら高度な専門性と広範なコンテキスト（文脈情報）を必要とするため、人手による対応の負荷が高い領域とされてきた。Cursorは「自動運転するコードベース（self-driving codebases）」の実現を目指しており、開発チームが専門知識や時間の制約で十分に対応しきれなかった一般的なタスクを、ボットによって自律化する方針を示している。
デプロイ後の異常検知と自動対処を担う「Rollouts」
「Rollouts」は、PRが作成された瞬間から本番環境で正常に動作することが確認されるまでの全工程を追跡するボットである。GitHubなどのソースコード管理ツール、デプロイシステム、およびDatadogやGrafana、Honeycombといったテレメトリ（システムの稼働状況や性能を可視化するメトリクスやトレースなどの監視データ）基盤と連携して動作する。
マージ前の段階では、変更差分を読み取って潜在的なリスクや想定される影響、現状の計測機能では検証できない箇所などをまとめた「モニタリング計画」を作成する。開発者は必要に応じてこの計画を直接編集できる。
デプロイ後は、策定された計画に基づいて各種シグナルをデプロイ前のベースラインと比較検証する。リグレッション（性能低下や不具合）が検知された場合、原因として疑われる変更と今後の対応計画が通知される。設定に応じて、変更を加えた開発者への連絡、段階的なロールアウト（段階的リリース）の一時停止、承認待ちのリバートPR（変更を取り消すためのPR）の自動作成といったアクションを実行する仕組みとなっている。
同機能の主な強みとして、以下の3点が挙げられている。
- 局所的な異常の早期検知: 全体向けのアラートが発火する前に、特定地域や特定エンドポイントのみで発生した異常を捉える。
- 意図した負荷と不具合の識別: 計画的なアクセスの増加と意図しない性能低下を区別し、不要なアラート通知を防ぐ。
- 計測漏れの事前警告: 障害の見落としにつながる計測の実装漏れをマージ前に指摘する。
なお、今後はトラフィックの流量を直接制御するためのフィーチャーフラグ連携や、定期的な一括リリースを管理するリリーストレイン、デプロイ凍結（deploy freezes）への対応なども順次追加される予定だという。
文脈解析により修正まで提案する「Security Reviewer」
「Security Reviewer」は、すべてのPRを対象にコードベース全体の文脈を読み込み、脆弱性の発見から解説、修正案の提示までを一貫して行うボットである。
従来の静的解析（プログラムを実行せずにコードの字面やパターンを検証する手法）では、SQL呼び出し付近の文字列連結を無差別に警告したり、リファクタリングで認可処理が脱落したケースを見落としたりする課題があった。これに対しSecurity Reviewerは、セキュリティエンジニアのようにユーザー入力の流入元から到達点、通過する処理の流れ（データフロー）を追跡してコードを解析する。
標準で検出可能な項目には以下が含まれる。
- SQL、コマンド、テンプレート、LDAPなどの各種インジェクション脆弱性
- 新規・変更されたルーティングにおける認証および認可の不備・欠落
- ソースコード内に混入した認証情報やシークレットの検出
- 安全でないデシリアライゼーション（保存・通信用のデータを元のオブジェクト形式へ復元する処理）や検証されていないリダイレクト
- 既知の脆弱性を含む依存パッケージの追加・更新
- インフラ構成や設定ファイルにおける安全でないデフォルト値
検出された各項目には、深刻度（severity）、攻撃経路（attack path）、およびワンクリックで適用可能な修正案（one-click fix）が提示される。
同社の公開データによると、Security Reviewerの導入によって平均レビュー時間は従来の4.8分から3.8分へと約2割短縮された。また、ボットによる指摘コメントの受け入れ率も従来の45〜50%から60〜70%に向上したとしている。
提供プランと設定方法
「Rollouts」および「Security Reviewer」は、TeamsプランおよびEnterpriseプランのユーザー向けに即日提供されている。利用にあたっては、管理画面内の「automations」タブから対象のボットを有効化することで設定が可能となっている。