Heute führen wir zwei Cursor-Bots für die letzte Meile beim Ausliefern von Code ein. Rollouts überwacht jede Änderung während des Deployments und meldet ihren Zustand für jede Umgebung. Die Sicherheitsprüfung meldet ausnutzbare Bugs in jedem PR.

Beide sind ab sofort in den Teams- und Enterprise-Plänen verfügbar.

#Rollouts

Rollouts fügt jedem PR einen Monitor hinzu, überwacht die Änderung während des Deployments und meldet ihren Zustand pro Umgebung: „als fehlerfrei verifiziert“, „Regression erkannt“ oder „nicht eindeutig“. Es ist Cursors Version der Firetiger Change Monitors, neu entwickelt mit dem Bot Development Kit.

Aktiviere es im Dashboard und verbinde deine Versionsverwaltung, dein Deployment-System und deinen Telemetrie-Anbieter. Ab dem nächsten PR beginnt Rollouts mit der Überwachung.

#Monitoring-Pläne

Sobald ein PR geöffnet wird, analysiert Rollouts den Diff und die betroffenen Systeme und erstellt anschließend einen Monitoring-Plan als PR-Kommentar. Der Plan führt die erkannten Risiken auf, die beabsichtigte Wirkung der Änderung, die Signale, die Rollouts prüfen wird, sowie etwaige Lücken in der Instrumentierung, die es schwer machen würden, die Änderung zu verifizieren. Bearbeite den Plan direkt im PR – Rollouts nutzt dann deine Version.

#Deployment-Tracking

Rollouts wird bei Deploy-Events für den Commit der Änderung aktiv und führt den Plan anhand deiner Logs, Metriken und Traces aus. Dabei verfolgt Rollouts jede Umgebung separat. So kann eine Änderung in Staging verifiziert und in Produktion trotzdem beanstandet werden. Rollouts prüft die beabsichtigte Wirkung der Änderung zusammen mit Fehlermeldungen und Latenzsignalen und meldet sich im PR zurück, sobald ein Ergebnis feststeht.

#Regressionen

Wenn Rollouts eine Regression erkennt, benennt es die vermutlich verantwortliche Änderung und benachrichtigt deren Autor. Je nach Konfiguration kann es außerdem einen Revert-PR zum Review öffnen oder den Befund zur Behebung an einen Cloud-Agent übergeben. Merges oder Rollbacks führt Rollouts derzeit nicht eigenständig durch.

#Integrationen

Rollouts verbindet sich für die Versionsverwaltung mit Origin oder GitHub, für Deploy-Events mit deinem Continuous-Delivery-System und für Signale mit Datadog sowie anderen Telemetrieanbietern. Eine Integration für Feature-Flags ist bald verfügbar.

#Sicherheitsprüfung

Die Sicherheitsprüfung ist ab sofort verfügbar. Sie analysiert jeden PR im Kontext der Codebasis und veröffentlicht einen einzigen Review-Kommentar, in dem ausnutzbare Bugs gemeldet werden. Stil und Qualität bleiben Sache von Bugbot.

Aktiviere sie im Dashboard für die Repositories, die du überprüfen lassen möchtest. Draft-PRs werden übersprungen.

#Was gemeldet wird

Die Sicherheitsprüfung sucht nach Injection-Schwachstellen in SQL-, Befehls- und Template-Kontexten sowie nach Umgehungen von Authentifizierung und Autorisierung, einschließlich Prüfungen, die nach einem Refactoring nicht mehr ausgeführt werden. Außerdem markiert sie Secrets und Zugangsdaten, die in den Quellcode committet wurden, SSRF und nicht validierte Weiterleitungen, unsichere Deserialisierung sowie Änderungen an Abhängigkeiten, durch die bekannte Sicherheitslücken entstehen. Dabei verfolgt sie, wo Benutzereingaben ins System gelangen und welche Stellen sie durchlaufen.

#Befunde

Jeder Befund enthält einen Schweregrad, den Angriffspfad und einen Korrekturvorschlag. Wenn du einen Befund mit Begründung verwirfst, meldet ihn die Sicherheitsprüfung in diesem PR nicht erneut.

#Team-Regeln

Füge Regeln für deine Codebasis hinzu – etwa, über welchen Client externe Aufrufe laufen müssen oder welche Tabellen nie aus einem Request-Handler abgefragt werden dürfen. Die Sicherheitsprüfung setzt sie bei jedem PR durch.

#Erste Schritte

Rollouts und Security Reviewer sind ab sofort in den Teams- und Enterprise-Plänen verfügbar. Aktiviere beide Bots im Tab „Automatisierung“.

In den nächsten 10 Tagen stellen wir Nutzungsguthaben bereit, damit Teams Rollouts mit echten Änderungen ausprobieren können. Teams-Kunden erhalten Guthaben für etwa 50 Änderungen, Enterprise-Kunden für etwa 500.