Cursor เปิดบอท Rollouts กับ Security Review — ตามดู PR ตั้งแต่เปิดจนถึง production และตรวจช่องโหว่ทุก PR แต่ยังไม่ merge หรือ rollback เอง

Cursor เปิดตัวบอทสองตัวเมื่อ 23 ก.ย. 2026 ในบล็อกชื่อ “Bots for the last mile” ตัวแรกคือ Rollouts ซึ่งติดตามการเปลี่ยนแปลงตั้งแต่ตอนเปิด PR ไปจนถึงตอนที่โค้ดรันอยู่ใน production และแจ้งเมื่อเจอ regression ตัวที่สองคือ Security Review (บล็อกกับหน้า Get started เรียกว่า Security Reviewer) ซึ่งอ่าน PR ทุกตัวเพื่อหาช่องโหว่ที่ถูกโจมตีได้จริง ทั้งสองตัวใช้ได้เฉพาะแผน Teams และ Enterprise และเปิดใช้งานได้จากแท็บ Automations

Cursor ให้เหตุผลว่า “Writing code is no longer the slow part” งานที่ยังช้าอยู่คือขั้นตอนหลัง PR ขึ้นไปแล้ว เช่น ตรวจความปลอดภัย เฝ้า deploy ตัดสินว่า latency ที่เพิ่มขึ้นเป็นปัญหาจริงไหม หรือหาว่าการเปลี่ยนแปลงตัวไหนทำหน้า checkout พัง บล็อกนี้เขียนโดย Rustam Lalkaka ผู้ร่วมก่อตั้ง Firetiger ซึ่ง Cursor ประกาศเมื่อ 13 ส.ค. ว่าทีม Firetiger เข้าร่วมบริษัทแล้ว changelog ระบุตรง ๆ ว่า Rollouts คือ “the Cursor version of Firetiger Change Monitors, rebuilt with the Bot Development Kit”

Rollouts: เขียนแผนก่อน merge แล้วตรวจผลหลัง deploy

• ก่อน merge: เมื่อเปิด PR บอทจะอ่าน diff และระบบที่โค้ดส่วนนั้นเกี่ยวข้อง แล้วเขียน แผนมอนิเตอร์ เป็นคอมเมนต์ใน PR แผนนี้บอกว่าบอทเห็นความเสี่ยงอะไร การเปลี่ยนแปลงควรให้ผลอย่างไร จะดูสัญญาณตัวไหน และจุดไหนที่ instrumentation ไม่พอให้ยืนยันผล ถ้าต้องการแก้แผน ให้ mention handle ของบอทในคอมเมนต์ (เฉพาะคนที่มีสิทธิ์ write)
• หลัง deploy: บอททำงานเมื่อได้รับ deploy event ของ commit นั้น แล้วใช้แผนตรวจ logs, metrics และ traces แยกทีละ environment จึงเป็นไปได้ที่ staging ผ่านแต่ production ถูกแจ้งเตือน เอกสารระบุว่าตรวจตอน deploy แล้วตรวจซ้ำหลังผ่านไป 20 นาที, 1 ชั่วโมง, 1 วัน และ 3 วัน ผลตัดสินมีสามแบบ คือ verified healthy, regression detected หรือ inconclusive
• สิ่งที่ต้องเชื่อมต่อ: source control (Origin, GitHub, GitLab.com, Bitbucket Cloud) ระบบ CD ที่ส่ง deploy event ด้วย Cursor API key และ telemetry อย่างน้อยหนึ่งตัว เช่น Datadog ถ้าไม่ต่อ telemetry การเปลี่ยนแปลงจะค้างอยู่ในสถานะ pending ตลอด

Cursor บอกว่าจุดเด่นตอนนี้คือจับ regression ที่เกิดเฉพาะ endpoint เดียวใน region เดียวได้ก่อนที่ alert ระดับ global จะดัง แยกผลที่ตั้งใจให้เกิดออกจาก regression ได้ (spike ที่ตั้งใจให้เกิดจะไม่ทำให้ใครถูก page) และแจ้งตั้งแต่ก่อน merge ว่า instrumentation ยังขาดตรงไหน

”Rollback” ทำได้แค่ไหน — บล็อก changelog และเอกสารพูดไม่ตรงกัน

บล็อกเขียนว่าเมื่อเจอ regression บอทอาจ “ping to the author, a paused progressive rollout, or a revert PR waiting for approval” แล้วแต่การตั้งค่า แต่ changelog วันเดียวกันเขียนว่า “Rollouts does not merge or roll back on its own today” และบอกว่าสิ่งที่ทำได้คือแจ้งผู้เขียน เปิด revert PR ให้คนรีวิว หรือส่งปัญหาต่อให้ cloud agent แก้ ส่วนหน้าเอกสาร Rollouts เขียนเข้มกว่านั้นอีก คือ “Rollouts doesn’t merge, revert, or roll back changes on its own” และบอกว่าบอทจะเปิด issue ให้คนกด Fix เพื่อเรียก cloud agent หรือกด Close พร้อมระบุเหตุผล

ถ้าอ่านรวมกัน revert PR ที่บล็อกพูดถึงก็ยังต้องให้คนกด approve และ merge เอง ส่วน “paused progressive rollout” ไม่ปรากฏใน changelog หรือเอกสารเลย ของที่ใกล้เคียงที่สุดคือ feature flag integration ซึ่งทั้งสองแหล่งระบุว่ายัง “coming soon” สรุปคือตอนนี้ Rollouts เป็น ผู้ตรวจที่ตัดสินผลและเสนอทางแก้ ยังไม่ใช่ระบบ auto-rollback คนที่กดปุ่มสุดท้ายยังเป็นทีมเอง

Security Review: บอทความปลอดภัยที่แยกงานจาก Bugbot

Security Review อ่าน PR ทุกตัวโดยดูบริบทของทั้ง codebase แล้วโพสต์คอมเมนต์รีวิว หนึ่งคอมเมนต์ ที่รายงานเฉพาะบั๊กที่ถูกโจมตีได้ PR ที่เป็น draft จะถูกข้าม และ changelog ขีดเส้นแบ่งไว้ชัดว่า “Style and quality stay with Bugbot”

• สิ่งที่ตรวจ: injection ทั้ง SQL, command และ template (บล็อกนับ LDAP ด้วย) การ bypass authentication/authorization รวมถึงกรณีที่ refactor ทำให้การตรวจสิทธิ์หยุดทำงาน secret ที่หลุดเข้า source, SSRF, unvalidated redirect, unsafe deserialization และ dependency ที่มีช่องโหว่ที่รู้กันอยู่แล้ว (บล็อกเพิ่ม insecure defaults ใน infra และ config)
• ผลที่ได้: แต่ละ finding มี severity, attack path และวิธีแก้ที่เสนอมา ถ้ากด dismiss พร้อมให้เหตุผล บอทจะไม่ยกเรื่องเดิมขึ้นมาอีกใน PR นั้น
• Team rules: เขียนกฎเฉพาะ codebase ได้ เช่น external call ต้องผ่าน client ตัวไหน หรือตารางไหนห้าม query จาก request handler แล้วบอทจะตรวจตามกฎนี้ทุก PR

เอกสารจัด Security Reviewer เป็นหนึ่งใน “Security Agents” คู่กับ Vulnerability Scanner ที่สแกนโค้ดทั้ง repo ตามรอบ cron ทั้งสองตัวรันบน Cloud Agents และคิดเงินจาก usage pool ของทีม ใครอยากตรวจก่อน push ก็เรียก skill /review-security จาก agent ได้ (Cursor 3.7 ขึ้นไป)

เรื่องราคา: ช่วง 10 วันแรก Cursor ให้เครดิตลอง Rollouts กับการเปลี่ยนแปลงจริง ประมาณ 50 changes สำหรับ Teams และ 500 changes สำหรับ Enterprise

มุมมอง AI Curator

ข่าวนี้บอกทิศทางของตลาดเครื่องมือ AI coding ได้ชัดกว่าการออกโมเดลใหม่ เมื่อ agent เขียนโค้ดได้เร็วขึ้น ปัญหาคอขวดก็ย้ายไปอยู่หลัง PR Cursor เลยขยายจาก IDE ไปทำ Git forge (Origin), code review, security และ deploy verification ซึ่งเป็นพื้นที่ของ GitHub, Datadog, Snyk และ LaunchDarkly มาตลอด การดึงทีม Firetiger เข้ามาแล้วสร้างผลิตภัณฑ์ภายในหกสัปดาห์แสดงว่า Cursor อยากเป็นแพลตฟอร์มที่ครอบคลุมตั้งแต่เขียนโค้ดจนถึงรันใน production ไม่ได้อยากเป็นแค่ editor

สำหรับทีมในไทยและ SEA ที่ใช้ Cursor แผน Teams อยู่แล้ว Rollouts น่าลองกว่า Security Review เพราะบริษัทขนาดกลางส่วนใหญ่ไม่มี SRE มาเฝ้าดู dashboard หลังทุก deploy ข้อดีที่มองข้ามง่ายคือ Rollouts เขียนแผนมอนิเตอร์ ก่อน merge และบอกว่า instrumentation ขาดตรงไหน ซึ่งเป็นงานที่ทีมเล็กแทบไม่เคยทำ แต่มีเงื่อนไขที่หนีไม่ได้คือ ถ้า observability ยังไม่ดี เช่นไม่มี metric ราย endpoint หรือไม่มี traces บอทก็ได้แค่ตอบว่า “inconclusive” ควรใช้เครดิต 10 วันนี้เช็กก่อนว่าระบบของเราส่งสัญญาณพอให้บอทตัดสินได้หรือยัง

ส่วน Security Review ต้องคิดเรื่อง ความเป็นเจ้าของข้อมูล ก่อน บอทต้องอ่านทั้ง codebase บน Cloud Agents และ Rollouts ต้องเข้าถึง logs และ traces ของ production ผ่าน MCP ธนาคาร ประกัน และบริษัทที่ต้องทำตาม PDPA หรือแนวทางของ ธปท. จะต้องตอบให้ได้ว่า log ที่มีข้อมูลลูกค้าไหลออกไปที่ไหน ส่วนความไม่ตรงกันระหว่างบล็อกกับเอกสารเรื่อง rollback ยิ่งย้ำว่าควรถือตามสิ่งที่เอกสารเขียนไว้ อย่าตั้งค่าโดยคาดหวังจากข้อความการตลาด

แหล่งข่าว

• Bots for the last mile: Rollouts, Security Review — Cursor Blog (23 ก.ย. 2026)
• Cursor Changelog — Rollouts and Security Review (23 ก.ย. 2026)
• Rollouts — Cursor Docs
• Firetiger joins Cursor — Cursor Blog (13 ส.ค. 2026)