Cursor Rollouts & Security Reviewer: Bot yang Jaga PR sampai Production

Cursor pada 23 September 2026 merilis dua bot buat “last mile” shipping kode: Rollouts dan Security Reviewer. Bukan fitur chat di IDE. Ini agen di Automations yang ikut kerja setelah pull request naik — satu pantau deploy, satu cari bug yang bisa dieksploit.

Menurut blog resmi Cursor yang ditulis Rustam Lalkaka, menulis kode sudah bukan bagian paling lambat. Yang masih makan waktu: pastikan aman, nonton deploy, bedain latency naik karena sengaja atau karena ada yang rusak, dan tebak mana dari belasan change yang bikin checkout gagal.

Buat tim yang sudah harian bikin PR pakai agent coding, dua bot ini menutup celah yang sering ditinggal: review keamanan yang dangkal dan monitoring production yang cuma nunggu alert global.

Apa yang dirilis 23 September

Ringkas dari changelog Cursor, blog produk, docs Rollouts, dan liputan The New Stack:

1. Rollouts — bot yang nempel ke tiap PR, bikin monitoring plan, lalu cek kesehatan change per environment setelah deploy (verified / regression / inconclusive).
2. Security Reviewer — bot yang baca PR dalam konteks seluruh codebase, lapor bug yang bisa dieksploit (bukan style), plus severity, attack path, dan usulan fix.
3. Paket — keduanya masuk Teams dan Enterprise. Nyalain dari tab Automations.
4. Kredit uji 10 hari — changelog bilang Teams kira-kira 50 change, Enterprise 500 change, buat cobain Rollouts di PR nyata.
5. Integrasi — source control: Origin, GitHub, GitLab.com, Bitbucket Cloud. Telemetry: Datadog, Grafana, Honeycomb, dan provider lain lewat koneksi MCP.
6. Asal Rollouts — rebuild dari Firetiger Change Monitors pakai Bot Development Kit Cursor (@cursor/bdk di npm, masih early).

Catatan: Angka “review time turun 21%” (4,8 → 3,8 menit) dan acceptance naik ke 60–70% muncul di liputan The New Stack yang mengutip Lalkaka. Itu metrik internal Cursor soal Security Reviewer, bukan benchmark pihak ketiga.

Yang tidak termasuk di Hobby/Individual: changelog tidak mencantumkan plan personal. Tim solo yang cuma Pro tetap pakai Bugbot terpisah; dua bot baru ini butuh seat Teams/Enterprise.

Rollouts: pantau PR sampai production

Rollouts mulai kerja begitu PR dibuka. Dia baca diff, tebak sistem yang kena, lalu tulis rollout plan sebagai komentar PR. Isinya:

• risiko yang kelihatan dari change itu
• efek yang seharusnya muncul di production
• sinyal (log, metrics, traces) yang akan dicek
• lubang instrumentation yang bikin change susah diverifikasi

Di GitHub, GitLab.com, dan Bitbucket Cloud, plan muncul sebagai komentar. Di Origin, plan muncul di halaman PR. Tim yang punya write access bisa edit plan lewat mention handle yang disebut di komentar — Rollouts revisi dan balas.

Setelah merge dan deploy, Rollouts bangun karena deploy event (pakai Cursor API key di CI). Dia jalanin plan terhadap telemetry, per environment. Staging hijau belum menjamin production aman. Jadwal cek docs: saat deploy, lalu lagi setelah 20 menit, 1 jam, 1 hari, dan 3 hari.

Kalau ketemu regresi:

1. Rollouts sebut change yang dicurigai
2. buka issue / notifikasi ke author (Slack DM atau channel kalau di-set)
3. opsional: pause progressive rollout, buka revert PR, atau serahkan ke cloud agent buat fix

Yang penting: Rollouts tidak merge, revert, atau rollback sendiri. Manusia tetap pegang tombol berbahaya. Di halaman Rollouts, change dikelompokkan Attention, Monitoring, Pending, Verified — tiap environment punya status sendiri (Deploying, Monitoring, Verified, Deploy failed, Issues found).

Tiga klaim yang Cursor tekankan hari ini:

• nangkep regresi di satu endpoint / satu region sebelum alert global bunyi
• bedain efek yang sengaja (spike yang diharapkan) dari regresi beneran
• tandai instrumentation kurang sebelum merge — alasan paling sering change jelek lolos tanpa ketahuan

Coming soon di blog: integrasi feature flag (ramp/unramp traffic), plus kesadaran release train dan deploy freeze.

flowchart LR
  A[PR dibuka] --> B[Rollouts tulis plan]
  B --> C[Merge + deploy event]
  C --> D[Cek telemetry per env]
  D --> E{Verdict}
  E -->|Verified| F[Selesai]
  E -->|Regression| G[Notify + issue / revert PR]
  E -->|Inconclusive| H[Tetap dipantau]

Security Reviewer: beda dari Bugbot

Bugbot tetap urus kualitas dan style. Security Reviewer fokus bug yang penyerang bisa pakai. Dia baca change dalam konteks repo penuh — bukan cuma string concatenation dekat query SQL.

Out of the box, menurut blog dan changelog, dia cari:

• injection di SQL, command, template, LDAP
• auth/authorization yang hilang atau rusak di route baru/berubah
• secrets dan credential yang ikut ke source
• unsafe deserialization dan redirect yang tidak divalidasi
• SSRF
• dependency yang bawa CVE dikenal
• default infrastruktur/config yang tidak aman

Tiap finding punya severity, attack path, dan usulan fix (di blog disebut one-click). Draft PR di-skip. Temuan bisa di-dismiss dengan alasan — tidak diangkat lagi di PR yang sama. Tim bisa tambah team rules (misalnya “panggilan eksternal harus lewat client X” atau “tabel Y jangan pernah di-query dari request handler”).

Di docs Security Agents, Security Reviewer hidup berdampingan dengan Vulnerability Scanner (scan terjadwal di kode diam). Keduanya jalan di Cloud Agents; usage masuk pool tim / service account, bukan kuota personal satu orang. Ada skill /review-security atau /review di Cursor 3.7+ buat jalanin sebelum push.

Tips: Kalau Bugbot sudah rame di PR, jangan matikan. Biarkan dia urus nitpick; Security Reviewer khusus jalur serangan. Inbox review jadi lebih enak dibaca.

Dari Firetiger ke Bot Development Kit

Baca juga Claude Kini Pakai Mode Otomatis Secara Default, Ini Cara Balik ke Mode Manual

Cerita di balik Rollouts dimulai 13 Agustus 2026. Cursor umumkan tim Firetiger join. Firetiger didirikan 2024 oleh Rustam Lalkaka dan Achille Roussel (latar Cloudflare, Twitch, Segment, Twilio). Produk mereka: agen yang monitor rollout, tangkap regresi, selidiki incident, lalu lempar temuan balik ke coding agent.

Sehari sebelum SpaceX menutup akuisisi besar Cursor (The New Stack menyebut angka sekitar US$60 miliar di konteks itu), Cursor diam-diam ambil Firetiger. Maxime Prades di blog Cursor bilang inti idenya: agen yang nulis kode juga harus bisa bilang apakah kode itu jalan di production. Change Monitors disebut sebagai bagian roadmap yang sama dengan Cursor Origin.

Kurang lebih sebulan kemudian, Change Monitors muncul sebagai Rollouts — dibangun ulang dengan Bot Development Kit. The New Stack mencatat paket npm @cursor/bdk: agen didefinisikan pakai Markdown + TypeScript, support tools, skills, subagents, webhooks, dan scheduled runs. Masih early-stage, tapi arahnya jelas: bot last-mile bukan one-off, tapi platform.

Kompetitor di hilir tetap ada. Datadog Bits Release (preview Juni 2026) juga ikut change dari PR ke production. Harness lama punya deployment verification otomatis. LaunchDarkly Guarded Rollouts bisa rollback feature flag. Keunggulan Cursor yang digarisbawahi media: kedekatan — coding agent, forge (Origin), PR, security check, dan feedback production bisa duduk lebih dekat. GitHub tetap didukung; Origin bukan syarat.

Cara nyalain di Automations

Setup Rollouts di docs resmi empat langkah:

1. Pilih repo yang dipantau (maksimal 200 di settings). Tiap PR yang ship dari repo itu dapat watch terikat ke author-nya.
2. Kirim deploy event ke Rollouts lewat Cursor API key di secret CI. Bisa manual, atau minta setup agent buka PR yang nambah call-nya.
3. Sambungkan telemetry — minimal satu (contoh Datadog). Tanpa ini, change stuck di Pending dan regresi tidak terdeteksi.
4. Atur notifikasi — Slack DM atau channel publik (bukan Slack Connect). Admin tim harus tambah Rollouts ke Slack dulu. Notifikasi Slack tidak tersedia di Privacy Mode.

Filter default: Rollouts skip docs-only, formatting/lint/typo tanpa perubahan perilaku, dan test-only. Bisa diubah dengan deskripsi bahasa biasa di “Which changes to monitor”.

Security Reviewer: enable di dashboard untuk repo yang mau di-review. Pastikan Cloud Agents aktif. Kalau mau custom, pakai Security Agents di Automations — pilih trigger PR, nyalakan built-in checks, tulis custom instructions, sambungkan MCP (Slack, issue tracker).

# Contoh pola: CI memberitahu Rollouts saat deploy production mulai/selesai
# (ganti URL/endpoint sesuai docs Automations / setup agent Cursor)
curl -sS -X POST "$CURSOR_ROLLOUTS_DEPLOY_URL" \
  -H "Authorization: Bearer $CURSOR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"commit":"'"$GIT_SHA"'","environment":"production","status":"started"}'

Peringatan: Jangan commit API key. Simpan di secret CI (GitHub Actions, GitLab CI, dsb). Rollouts butuh sinyal deploy yang jujur — salah environment = verdict menyesatkan.

Urutan yang biasanya paling sedikit drama: Security Reviewer dulu (hanya perlu repo + Cloud Agents), baru Rollouts setelah CI sudah bisa nembak deploy event. Kalau dua-duanya dinyalain bareng di 50 repo sekaligus, kredit uji 10 hari cepat habis buat noise, bukan buat belajar pola regresi yang relevan.

Cocok dicoba dari Indo minggu ini

Banyak squad di sini sudah bayar Cursor bulanan pakai kartu dollar, push ke GitHub, dan pantau error di Datadog atau Grafana Cloud. Rollouts + Security Reviewer cocok kalau pola kerjanya mirip itu — bukan kalau hampir semua deploy masih “SSH ke VPS lalu git pull” tanpa event dan tanpa metrics.

Praktis buat konteks lokal:

• Bayar dolar — Teams di situs resmi US$40/user/bulan (ada opsi yearly lebih murah). Enterprise custom. Ditambah usage cloud agent untuk Automations. Hitung dulu seat engineer aktif, bukan jumlah akun idle.
• Kartu & pajak — harga di halaman Pricing belum termasuk pajak. Self-serve pakai kartu; invoice/wire lewat Enterprise.
• Repo — GitHub paling mulus (trigger terbanyak). GitLab.com dan Bitbucket Cloud didukung inti PR/push. Self-hosted Bitbucket Server/Data Center tidak. Origin Cursor masih early tapi native buat loop agent.
• Telemetry — kalau belum punya Datadog/Grafana/Honeycomb, Rollouts kurang berguna. Mulai dari satu service kritis (checkout, auth, payment) biar kredit 10 hari tidak habis di repo docs.
• Privacy Mode — bagus buat perusahaan yang takut training; ingat notifikasi Slack Rollouts tidak jalan di mode itu. Putuskan channel alert dulu.
• Alternatif murah — solo di plan Individual tetap bisa pakai Bugbot usage-based + review manual. Jangan upgrade Teams cuma karena FOMO bot baru kalau volume PR masih kecil.

Kalau tim sudah 5–15 engineer, PR dari agent meruah tiap hari, dan on-call sering kebangun karena latency regional — minggu ini layak nyalain Security Reviewer dulu (setup lebih pendek), lalu Rollouts di satu repo yang punya CI + Datadog.

Checklist

• Pastikan workspace di plan Teams atau Enterprise
• Nyalakan Security Reviewer di Automations untuk repo utama (skip dulu draft PR)
• Hubungkan source control (GitHub/GitLab/Bitbucket/Origin) dan cek permission write untuk edit plan
• Tambah Cursor API key ke secret CI; kirim event deploy start/finish
• Sambungkan minimal satu telemetry (Datadog / Grafana / Honeycomb)
• Set notifikasi Slack (DM atau channel) — undang app yang diminta
• Tulis 2–3 team rules keamanan yang spesifik codebase
• Pakai kredit 10 hari di satu service kritis, evaluasi false positive sebelum scale ke 200 repo

Poin penting

• Rollouts + Security Reviewer rilis 23 September 2026, khusus Teams/Enterprise via Automations
• Rollouts = monitoring plan → cek telemetry per env → notify/revert PR; tidak auto-merge atau auto-rollback
• Security Reviewer = bug yang bisa dieksploit; Bugbot tetap urus style/kualitas
• Rollouts = Firetiger Change Monitors yang di-rebuild; Firetiger join Cursor 13 Agustus 2026
• Butuh deploy event + minimal satu observability tool; tanpa itu change stuck Pending
• Kredit uji ~50 (Teams) / ~500 (Enterprise) change selama 10 hari setelah rilis
• Di Indo: cocok buat squad yang sudah bayar dollar + CI + Datadog; kurang cocok buat deploy manual tanpa metrics

Referensi

1. Cursor Blog (2026). Bots for the last mile: Rollouts, Security Review — Rustam Lalkaka, 23 September 2026
2. Cursor Changelog (2026). Rollouts and Security Review — 23 September 2026
3. Cursor Docs (2026). Rollouts — monitoring plans, deploy tracking, regressions, setup
4. Cursor Docs (2026). Security Agents — Security Reviewer, Vulnerability Scanner, billing, analytics
5. Cursor Docs (2026). Automations — triggers, tools, Cloud Agents, service accounts
6. Cursor Blog (2026). Firetiger joins Cursor — Maxime Prades, 13 Agustus 2026
7. The New Stack (2026). Cursor acquired Firetiger. A month later, Cursor launched a bot that tracks code changes through to production — Paul Sawers, 24 September 2026
8. AI/TLDR (2026). Cursor Rollouts and Security Review — bots that watch a PR into production
9. Cursor (2026). Pricing — Teams US$40/user/mo, Enterprise custom, Automations on Teams
10. Cursor Docs (2026). Team Pricing — Standard/Premium, pooled usage notes
11. Cursor Changelog (2026). Cursor Security Review early notes — April 2026 beta context
12. Firetiger Blog (2026). Firetiger is joining Cursor — company sunset / join announcement
13. Dealroom (2026). Cursor acquires Firetiger to close the loop from code to production
14. Cursor Docs (2026). Bugbot — style and quality review alongside Security Reviewer
15. Cursor (2026). Automations product pages for Rollouts enablement under From Cursor