«Боты для последней мили»: Cursor выпустила Rollouts для контроля деплоя и Security Reviewer для проверки пул-реквестов

Что представила Cursor

23 сентября 2026 года Cursor представила двух ботов, которые закрывают работу после того, как пул-реквест уже открыт: Rollouts следит за изменением от PR до продакшена, Security Reviewer ищет и исправляет проблемы безопасности в кодовой базе. Оба доступны уже сегодня на планах Teams и Enterprise.

Зачем это нужно

Логика релиза сформулирована прямо в посте: писать код больше не медленная часть работы, а не ускорилось всё, что происходит после публикации PR — проверка безопасности, наблюдение за деплоем, решение о том, реален ли скачок задержек, и поиск того, какое из одиннадцати изменений сломало оформление заказа. Компания называет эту работу сложной, повторяющейся и требующей большого объёма контекста, и говорит, что строит «самоуправляемые кодовые базы» (self-driving codebases), а Rollouts и Security Review берут на себя рутину, на которую у команд обычно не хватает времени и экспертизы.

Rollouts: план мониторинга ещё до мержа

Rollouts отслеживает изменение с момента открытия PR до момента, когда вы уверены, что оно работает в продакшене. Для этого он подключается к системе контроля версий, вашему деплой-контуру и телеметрии — Datadog, Grafana, Honeycomb или любому другому источнику метрик и трейсов. До мержа бот читает дифф и пишет план мониторинга: какие риски он видит, какие эффекты изменение должно произвести и в каких местах ваша инструментация не позволит понять, сработало ли оно; план можно отредактировать, если в нём чего-то не хватает.

После деплоя Rollouts сравнивает сигналы из плана с базовой линией до выката. При обнаружении регрессии он сообщает, какое изменение подозревает, и что собирается делать: в зависимости от настройки это может быть уведомление автору, приостановленный поэтапный выкат или revert-пул-реквест, ожидающий одобрения. При этом самостоятельно бот не мержит и не откатывает изменения — это прямо сказано в чейнджлоге.

Среди того, что получается хорошо уже сейчас, компания выделяет три вещи: бот ловит регрессии, ограниченные одним эндпоинтом в одном регионе, раньше, чем сработает глобальный алерт; отличает ожидаемые эффекты от регрессий, поэтому намеренный всплеск никого не будит; и указывает на отсутствующую инструментацию до мержа — самую частую причину, по которой плохое изменение остаётся незамеченным. В чейнджлоге добавляются детали архитектуры: каждая среда отслеживается отдельно, поэтому изменение может подтвердиться в стейджинге и всё равно получить флаг в продакшене, а вердикт бот возвращает в PR.

По подключениям чейнджлог называет Origin или GitHub для контроля версий, систему непрерывной доставки для событий деплоя и Datadog и других поставщиков телеметрии для сигналов. В планах — интеграция с фича-флагами, чтобы Rollouts сам управлял раскаткой и откатом трафика, а также учёт поездов релизов и деплой-заморозок.

Отдельная деталь родословной: в чейнджлоге Rollouts описан как версия Change Monitors от Firetiger, пересобранная на Bot Development Kit.

Security Reviewer: читает PR как инженер по безопасности

Security Reviewer запускается на каждом пул-реквесте, читает изменение в контексте всей кодовой базы и сообщает об уязвимостях с объяснением и предложенным исправлением. Ключевое отличие от статического анализа компания описывает так: статический анализ работает по шаблонам — он помечает каждую конкатенацию строк рядом с SQL-вызовом и при этом пропускает проверку авторизации, которая перестала выполняться после рефакторинга; Security Reviewer читает код так, как это делает инженер по безопасности: где входит пользовательский ввод, где он оказывается и что проходит по пути.

Из коробки бот ищет инъекции на поверхностях SQL, команд, шаблонов и LDAP, отсутствующую или сломанную аутентификацию и авторизацию на новых и изменённых маршрутах, секреты и учётные данные, закоммиченные в код, небезопасную десериализацию и непроверяемые редиректы, изменения зависимостей, притягивающие известные уязвимости, а также небезопасные значения по умолчанию в инфраструктуре и конфигурации. Каждая находка сопровождается серьёзностью, путём атаки и исправлением в один клик. В чейнджлоге уточняется разделение ролей: один комментарий-ревью на PR с эксплуатационными багами, тогда как стиль и качество остаются за Bugbot, а черновики PR пропускаются.

Что дальше

Оба бота включаются на планах Teams и Enterprise из вкладки автоматизаций. Дальнейшее развитие Rollouts связано с фича-флагами, поездами релизов и заморозками деплоя.