Cursor lança bots de IA que detectam falhas de segurança e travam deploys com erros

Escrever código é a etapa que atrai a maior parte das ferramentas e da atenção. O que vem depois da integração sempre foi mais difícil de automatizar: a espera angustiante para saber se uma brecha de segurança passou despercebida na revisão ou se algo parou de funcionar silenciosamente em produção. Os dois novos bots do Cursor, Rollouts e Security Reviewer, foram desenvolvidos justamente para preencher essa lacuna.

O Security Reviewer analisa cada alteração de código em relação à base de código completa para encontrar tipos de vulnerabilidade que costumam passar por uma revisão por pares convencional. A ferramenta procura falhas de injeção de SQL, de comandos e de templates; autenticação ausente ou mal configurada em rotas; credenciais incluídas acidentalmente no repositório; desserialização insegura; redirecionamentos sem validação; e problemas de segurança conhecidos em alterações de dependências. Cada item sinalizado vem acompanhado de uma classificação de gravidade, uma explicação do caminho de ataque e uma correção que pode ser aplicada com um clique. O tempo médio de revisão caiu de 4,8 para 3,8 minutos por sessão, e os desenvolvedores aceitam as sugestões do bot em 60% a 70% dos casos, ante 45% a 50% antes.

O Rollouts atua na etapa de implantação. Antes da integração de uma alteração, ele cria um plano de monitoramento que identifica quais partes da base de código estão mudando e onde há lacunas de instrumentação. Depois que o código é publicado, compara os sinais em tempo real do Datadog, do Grafana ou do Honeycomb com as referências definidas antes da implantação. A ferramenta consegue distinguir mudanças intencionais de comportamento de regressões reais — uma diferença crucial quando intervir significa reverter tudo. Ao detectar uma falha genuína, pode avisar o autor, pausar a implantação ou enviar uma pull request automatizada para reverter a alteração antes que o problema chegue a todos os usuários.

O que diferencia as duas ferramentas da maioria dos assistentes de programação com IA é o momento em que entram no fluxo de trabalho. A maior parte das ferramentas de IA para desenvolvedores se concentra na etapa de escrita: gerar funções, sugerir complementos e explicar a lógica. Rollouts e Security Reviewer atuam no intervalo posterior à escrita, quando o código sai da máquina local do desenvolvedor e passa para uma infraestrutura compartilhada, e os erros trazem consequências concretas. O Security Reviewer não avalia código hipotético: analisa a alteração específica que está prestes a entrar em produção.

As limitações também merecem atenção. O Rollouts precisa de três sistemas conectados para funcionar: controle de versão, uma plataforma de implantação e pelo menos uma ferramenta de observabilidade. Para equipes menores que ainda não contam com uma infraestrutura de observabilidade, o trabalho necessário para configurar a ferramenta pode superar os benefícios. O Security Reviewer está disponível apenas nos planos Teams e Enterprise, o que exclui desenvolvedores independentes e projetos menores, justamente os que mais poderiam se beneficiar de ajuda automatizada com segurança. E nenhuma ferramenta automatizada substitui uma auditoria de segurança dedicada em sistemas críticos; os bots só conseguem sinalizar padrões para os quais foram projetados.

Os dois bots estão disponíveis globalmente para assinantes do Cursor Teams e Enterprise. O Cursor lançou as ferramentas em 23 de setembro, com um período de teste de dez dias incluído: clientes Teams recebem créditos que cobrem aproximadamente 50 alterações de código, enquanto clientes Enterprise recebem créditos para cerca de 500. A integração com sinalizadores de recursos e o suporte do bot Rollouts à gestão de ciclos de lançamento estão em desenvolvimento.

Tags: Cursor, bots de IA, ferramentas para desenvolvedores, Rollouts, Security Reviewer, segurança de código