Cursor Rollouts та Security Review: як моніторити деплої та закривати дірки у вайбкодінгу
Cursor запустив Rollouts для відстеження деплоїв і Security Review для перевірки PR на вразливості. Розбираю, як нетехнічному фаундеру викатувати MVP на стику nocode та коду і не зламати прод.
Типова ситуація: нетехнічний фаундер збирає MVP на nocode, наприклад на Bubble, а кастомні модулі чи бекенд дописує вайбкодінгом у Cursor. І найбільше боїться одного: викотити реліз у прод і все зламати або відкрити дірку в безпеці. 23 вересня 2026 року Cursor показав два інструменти саме для етапу після створення PR: Rollouts та Security Review. Поруч із цим: n8n Assistant 2.35+: Agents, MCP. Схожий розбір: Claude Code 2.1.287: що фаундеру.
Обидва закривають «останню милю» релізу. Це відрізок між пулл-реквестом і моментом, коли код уже працює на сервері. Якщо ви перевіряєте гіпотези й збираєте перші відгуки від клієнтів чи інвесторів, ці інструменти дають тестувати швидше. І менше ризикувати, що перші користувачі підуть через помилку, яку ніхто не помітив. Схожий розбір: OpenAI Agents API (public beta). Про це окремо: OpenAI Agents API (public beta):.
Що робить Cursor Rollouts
Rollouts сам додає монітор до кожного PR і пише в коментарях план спостереження (monitoring plan). У плані є можливі ризики, очікувані наслідки зміни, метрики, за якими варто стежити, і прогалини в телеметрії.
- Контроль деплоїв: бот слухає події вашої CD-системи й оцінює реліз окремо для кожного середовища. Статусів три: verified healthy, regression detected або inconclusive.
- Джерела даних: є інтеграція з GitHub або Origin і з провайдерами телеметрії. Серед них Datadog, а в блозі команди ще згадуються Grafana і Honeycomb.
- Дії при збої: якщо бот бачить регресію, автор отримує сповіщення. Якщо так налаштувати, система відкриє PR зі скасуванням змін (revert PR) або передасть виправлення хмарному агенту (cloud agent).
- Межі автоматизації: Rollouts не робить merge сам і не відкочує зміни без людини. Вирішуєте ви.
Security Review: реальні дірки, а не причіпки до стилю
Стиль коду лишається за Bugbot. Security Review (у блозі його також називають Security Reviewer) шукає тільки критичні проблеми, які реально можна експлуатувати. Бот дивиться на контекст усього репозиторію, а чернетки (draft PR) пропускає.
Результат приходить одним коментарем: точний маршрут атаки (attack path), рівень серйозності (severity) і пропозиція, як виправити. Попередження можна відхилити, якщо вказати причину. А для свого проєкту можна налаштувати правила команди (team rules).
Доступність та практичні висновки для запуску MVP
- Тарифні плани: обидва інструменти є тільки на Teams та Enterprise. Вмикаються у вкладці automations у панелі керування Cursor.
- Промо-кредити: в анонсі пообіцяли безкоштовні кредити на Rollouts на «наступні 10 днів», орієнтовно ~50 змін для Teams і ~500 для Enterprise. Якщо рахувати від релізу 23 вересня 2026 року, вікно закривається десь 3 жовтня 2026 року.
- Якість телеметрії: якщо в сервісі немає базових метрик чи логів, Rollouts поверне «inconclusive». Моя порада для вайбкодінгу: мінімальний моніторинг помилок ставте одразу на старті, а не потім. Схожий розбір: Інцидент workflows 23 вер.: мінімальний.