Le 23 septembre 2026, Cursor a annoncé dans son changelog officiel « Rollouts and Security Review » : une fonctionnalité pour la surveillance continue après le déploiement du code, et une autre pour la revue de sécurité avant la fusion d'une PR. Le lancement simultané des deux étend le champ d'action de l'agent de programmation de « l'écriture du code » à « tout ce qui suit la livraison ».
Le principe de Rollouts est simple : pour chaque PR, un plan de surveillance est généré automatiquement et les indicateurs clés sont observés en continu une fois le code déployé. Dès qu'une régression est détectée, l'anomalie est capturée avant que les utilisateurs ne la remarquent, le changement suspect est identifié, l'auteur est notifié, et une PR de revert peut être ouverte ou le problème confié à un cloud agent. Pas de fusion ni de rollback automatiques — la décision finale reste entre les mains des ingénieurs.
Rollouts : combler le vide de la surveillance « après déploiement »
Côté intégrations, il s'appuie sur Origin ou GitHub pour le contrôle de version, récupère les événements de déploiement depuis le système de livraison continue (CD) et capte les signaux métriques via des services de télémétrie comme Datadog ; l'intégration des feature flags est en route, annoncée comme « bientôt disponible ». Jusqu'ici, les agents savaient écrire du code et ouvrir des PR, mais étaient absents une fois le code réellement en production — Rollouts comble précisément ce vide.
Security Reviewer : une répartition claire des rôles avec Bugbot
Security Reviewer est un bot de revue de sécurité indépendant : à chaque PR, il analyse l'intégralité du contexte du code à la recherche de vulnérabilités exploitables et rapporte tout dans un seul commentaire. La répartition des rôles est nette : les problèmes de sécurité relèvent de Security Reviewer, le style et la qualité du code restent du ressort de Bugbot — les deux bots ne se marchent pas sur les pieds.
La couverture de l'analyse est concrète : injections SQL, de commandes et de templates ; contournements d'authentification et d'autorisation, y compris les contrôles cassés silencieusement par un refactoring ; secrets et identifiants committés par erreur dans le dépôt ; SSRF et redirections non validées ; désérialisation non sécurisée ; et changements de dépendances introduisant des vulnérabilités connues. La revue suit les entrées utilisateur — d'où elles arrivent, par quels chemins elles passent, où elles aboutissent — chaque découverte étant assortie d'un niveau de gravité, d'un chemin d'attaque et d'une recommandation de correction. Les équipes peuvent aussi définir des team rules, par exemple quel client utiliser pour les appels externes ou quelles tables ne doivent pas être interrogées directement dans les gestionnaires de requêtes. Une découverte rejetée (dismiss) avec un motif ne sera plus signalée dans la même PR.
Impact : ce que cela signifie concrètement pour les équipes entreprise
Les deux fonctionnalités s'adressent aux formules Teams et Enterprise et s'activent dans l'onglet automations. Selon l'annonce, l'analyse est 21 % plus rapide, la durée moyenne passant de 4,8 à 3,8 minutes ; des rapports tiers évaluent le taux d'adoption des commentaires de sécurité à environ 60–70 %. Un quota d'essai est offert pendant les 10 jours suivant le lancement — environ 50 changements pour Teams, 500 pour Enterprise — une fenêtre permettant aux petites équipes de valider l'effet à moindre coût. Pour les ingénieurs responsables de la stabilité en production, une régression détectée avant les utilisateurs signifie qu'une partie de la pression de l'astreinte (on-call) est absorbée en amont.
Notre lecture
Le timing mérite d'être noté : il y a peu, la presse rapportait qu'OpenAI comptait mettre fin à son contrat de fourniture de modèles à Cursor. Faire du « monitoring après déploiement » et de la « revue de sécurité » des fonctionnalités par défaut à ce moment précis répond à la question qui intéresse le plus les clients entreprise : qui est responsable en cas de problème. En intégrant la phase « après le lancement » au flux de travail de l'agent, Rollouts montre que la valeur d'un agent glisse de « écrit vite » vers « ne casse rien » ; l'existence de Security Reviewer en tant que bot à part entière montre que la revue de sécurité passe de la checklist manuelle à l'étape par défaut du pipeline. Le secteur confirme cette direction : les outils de codage IA déplacent la compétition de « l'écriture du code » vers « tout ce qui suit la livraison », Claude Security d'Anthropic est lui aussi en bêta publique entreprise, et les agents de sécurité du code deviennent un standard du niveau entreprise.
