Ngày 23/9, Cursor ra mắt hai bot phát triển mới: Rollouts theo dõi toàn bộ quá trình một thay đổi từ khi merge đến khi lên production, phát hiện hồi quy thì cảnh báo và cố gắng khôi phục; Security Reviewer chạy rà soát bảo mật trên từng PR, đưa ra mô tả lỗ hổng và gợi ý khắc phục. Cả hai đều dành cho gói Teams và Enterprise, bật trong tab automations của Cursor.
Rollouts: lên kế hoạch giám sát trước khi merge
Theo mô tả của Cursor, Rollouts "watches a change from PR to production, flags regressions, and acts to restore a healthy state" — tức theo dõi một thay đổi từ PR đến khi lên production, đánh dấu hồi quy và đưa hệ thống trở lại trạng thái khỏe mạnh.
Nó cần kết nối với ba nhóm hệ thống: nơi lưu trữ code, hệ thống triển khai, và các công cụ đo lường như Datadog, Grafana, Honeycomb. Quy trình chia làm hai giai đoạn. Trước khi merge, nó đọc diff code, đánh giá rủi ro, từ đó tạo một kế hoạch giám sát; nếu các chỉ số liên quan đến thay đổi này chưa hề được đo lường (instrument), nó sẽ cảnh báo trước khi merge. Sau khi triển khai, nó so dữ liệu thực tế với baseline, có thể nhận ra hồi quy chỉ xuất hiện ở một endpoint hoặc một khu vực địa lý, đồng thời cố gắng phân biệt "thay đổi có chủ đích" với "sự cố thật sự", tránh việc chỉnh ngưỡng rate limit lại bị coi là lỗi.
Cursor cho biết tích hợp feature flag và nhận biết lịch phát hành vẫn đang trong kế hoạch. Việc "khôi phục trạng thái khỏe mạnh" cụ thể gồm rollback tự động đến mức nào, có cần xác nhận thủ công hay không, thông báo viết khá chung chung, phải chờ tài liệu sau này mới rõ.
Security Reviewer: bám theo luồng code để tìm lỗi
Security Reviewer được định vị là "runs on every PR, reads the change in the context of the whole codebase". Nó bám theo luồng code để theo dõi dữ liệu đi vào từ đâu, ra ở đâu, và Cursor nhấn mạnh đây là điểm khác biệt so với các scanner chỉ dựa vào khớp quy tắc. Phạm vi phát hiện gồm:
- Chèn mã kiểu SQL, command, template, LDAP
- Lỗi xác thực và phân quyền
- Rò rỉ thông tin xác thực (credential)
- Deserialization và redirect không an toàn
- Lỗ hổng trong dependency và cấu hình hạ tầng
Số liệu Cursor đưa ra là thời gian rà soát trung bình giảm từ 4,8 phút xuống 3,8 phút, tỷ lệ chấp nhận bình luận tăng từ 45%-50% lên 60%-70%. Thông báo không nói rõ nhóm số liệu này so sánh với phiên bản cũ của chính họ hay với giải pháp khác, quy mô mẫu và khoảng thời gian thống kê cũng không được công bố. "Tỷ lệ chấp nhận" chỉ việc developer chấp nhận bình luận của bot, không đồng nghĩa với tỷ lệ phát hiện lỗ hổng thực tế, hai chỉ số này không nên gộp chung.
Đặt cạnh các công cụ cùng loại
Mảng rà soát code bằng AI năm nay khá đông đúc. Năm 2025, Anthropic đã thêm lệnh /security-review và GitHub Action tương ứng cho Claude Code, tự động rà soát bảo mật trên từng PR; GitHub Security Lab tuần này vừa công bố một quy trình fuzzing dùng mô hình lớn, chạy từ tìm điểm vào (entry point) đến viết báo cáo lỗ hổng. Bugbot của chính Cursor cũng có bản cập nhật hồi tháng 6, công bố tốc độ tăng hơn 3 lần, chi phí giảm 22%, phát hiện thêm 10% bug.
Điểm tiếp cận của mỗi bên khác nhau. Rà soát bảo mật của Claude Code và Bugbot đều dừng lại ở "trước khi merge"; quy trình của GitHub thiên về nghiên cứu bảo mật, đào sâu vào các dự án mã nguồn mở đã trưởng thành. Lần này Cursor đi thêm một bước, đưa Rollouts vươn tới sau khi triển khai, chạm vào địa hạt của đội SRE và vận hành. Mảng này từ lâu đã có Watchdog của Datadog và tính năng phát hiện bất thường của các nền tảng APM khác nhau; điểm khác biệt của Cursor là nó đã đọc code của thay đổi này nên biết nên theo dõi chỉ số nào.
Với các team, bật công tắc chỉ là bước đầu. Rollouts cần quyền truy cập hệ thống triển khai và nền tảng giám sát, còn gọi là "khôi phục trạng thái khỏe mạnh", khi thực thi có thể là kích hoạt rollback trực tiếp. Việc quy trình quản lý thay đổi của các công ty lớn có chấp nhận một bot nắm quyền như vậy hay không, khó triển khai hơn cả bản thân tính năng. Hiện Cursor chưa công bố mô hình phân quyền cụ thể và thiết kế audit log.
Nguồn tham khảo: CocoLoop, blog chính thức của Cursor, blog GitHub, tài liệu Claude Code của Anthropic; đang xác minh thời gian rà soát và tỷ lệ chấp nhận bình luận của Security Reviewer, các gói áp dụng và phạm vi phát hiện.