Cursor 推出 Rollouts 与 Security Review：从写代码延伸到发布检查

Cursor 在 2026 年 9 月 23 日 发布 Rollouts 和 Security Review，两项功能面向 Teams 与 Enterprise 计划。前者跟踪代码变更部署后的健康状况，后者围绕 Pull Request 查找可利用的安全问题。

这次更新把 AI 开发工具的关注点从“代码是否写完”，进一步延伸到“这次变更上线后是否达到预期、是否引入风险”。但它需要接入部署和观测系统，并不是安装编辑器后就自动具备完整发布判断能力。

Rollouts 如何判断一次发布

按官方说明，PR 创建后，Rollouts 会读取代码差异及受影响系统，生成监控计划，列出风险、预期效果、检查信号和观测缺口。团队可以在 PR 中修改这份计划。

收到对应提交的部署事件后，它结合日志、指标和追踪数据执行检查，并按环境分别报告健康、发现回归或结论不充分。预发通过与生产通过是两个状态，不应混为一谈。

接入至少需要代码托管、部署事件来源及可观测性数据。缺少关键指标时，“无法得出结论”比无依据地报绿更有价值；团队也可以据此补足原先没有覆盖的信号。

它会自动回滚生产吗

截至发布说明，Rollouts 检出回归后会指出怀疑的变更并通知作者。按配置，它可以创建供审阅的回滚 PR，或把问题交给云端 Agent 修复；它不会自行合并或执行回滚。

因此，团队仍需明确谁可以批准修复、谁可以操作生产，以及什么时候应立即回滚。监控发现异常、提交修复方案和执行变更，属于不同权限层级。

Security Review 检查哪些问题

官方列出的范围包括注入、认证和授权绕过、提交到代码中的凭据、SSRF、未经校验的跳转、不安全反序列化，以及引入已知漏洞的依赖变化。结果包含严重程度、攻击路径和修复建议；草稿 PR 会跳过。

它主要寻找可利用的问题，样式与一般质量问题仍由其他审查能力处理。团队还可以配置项目规则，但自动审查不能证明代码不存在漏洞，也不能替代涉及业务权限的人工判断。

对小团队有什么参考价值

即使暂未采购这些功能，也可以采用同样的审阅顺序：先写清每次变更的预期效果，再列可验证信号和回滚条件。这样能让 AI 的建议落到可检查的发布结果上。

本文依据 Cursor 官方发布说明整理，未接入或实测这两项机器人。试用额度与套餐权益具有时效性，使用前应查询当前账户页面。