2026년 9월 23일, Cursor는 공식 changelog를 통해 "Rollouts and Security Review"를 발표했습니다. 코드 배포 이후를 지속적으로 모니터링하는 기능과, PR 병합 전 보안 리뷰를 맡는 기능, 두 가지입니다. 두 기능이 동시에 출시되면서 프로그래밍 에이전트의 일 범위는 "코드 작성"에서 "배포 이후"까지 확장됐습니다.
Rollouts의 동작 방식은 단순명료합니다. PR마다 자동으로 모니터링 플랜을 생성하고, 배포 이후 핵심 지표를 계속 관찰합니다. 회귀(regression)가 감지되면 사용자가 알아차리기 전에 이상을 포착하고, 의심스러운 변경을 특정해 작성자에게 알리며, revert PR을 자동으로 열거나 cloud agent에게 인계할 수도 있습니다. 자동 병합이나 자동 롤백은 하지 않습니다. 최종 판단권은 엔지니어에게 남습니다.
Rollouts: "배포 이후" 모니터링의 빈틈을 메우다
통합 측면에서는 버전 관리에 Origin 또는 GitHub을 사용하고, 지속적 배포(CD) 시스템에서 배포 이벤트를 받아오며, Datadog 같은 telemetry 서비스에서 지표 신호를 받습니다. feature flag(기능 플래그) 통합은 아직 출시 전이며, 공식 표현은 "출시 예정"입니다. 지금까지 에이전트는 코드 작성과 PR 생성에는 능했지만, 코드가 실제로 돌아가는 단계에서는 부재했습니다. Rollouts가 메우는 것은 바로 그 빈틈입니다.
Security Reviewer: Bugbot과의 명확한 역할 분담
Security Reviewer는 독립된 보안 리뷰 bot입니다. PR이 제출될 때마다 전체 코드베이스 맥락에서 악용 가능한 취약점을 스캔하고, 하나의 코멘트로 전부 보고합니다. 역할 분담은 명확합니다. 보안 문제는 Security Reviewer, 코드 스타일과 품질은 여전히 Bugbot이 맡아, 두 bot이 서로 영역을 침범하지 않습니다.
스캔 범위는 실전적입니다. SQL·명령·템플릿 인젝션, 인증·인가 우회(리팩터링 후 모르게 깨진 검사 포함), 저장소에 실수로 커밋된 secrets와 자격증명, SSRF와 미검증 리다이렉트, 안전하지 않은 역직렬화, 알려진 취약점을 끌어들이는 의존성 변경. 리뷰는 사용자 입력이 어디서 들어와 어떤 경로를 거쳐 어디에 도달하는지 추적하며, 각 발견 사항에는 심각도, 공격 경로, 수정 제안이 함께 제공됩니다. 팀은 team rules도 설정할 수 있습니다. 예를 들어 "외부 호출은 지정 클라이언트를 경유할 것", "특정 테이블은 요청 핸들러에서 직접 조회 금지" 같은 제약입니다. 사유를 달아 발견 사항을 dismiss하면, 같은 PR에서는 다시 알리지 않습니다.
영향: 기업 팀에 대한 실질적 의미
두 기능은 Teams와 Enterprise 플랜 사용자를 대상으로 하며, automations 탭에서 활성화합니다. 공식 발표에 따르면 스캔 속도는 21% 빨라져 평균 소요 시간이 4.8분에서 3.8분으로 줄었습니다. 제3자 보도에 따르면 보안 코멘트 채택률은 약 60~70% 수준입니다. 출시 후 10일간 무료 체험 쿼터가 제공되며, Teams는 약 50건, Enterprise는 약 500건의 변경이 대상입니다. 이 10일은 중소 팀이 저비용으로 효과를 검증할 수 있는 윈도우입니다. 온라인 안정성을 책임지는 엔지니어에게는 사용자가 알아차리기 전에 회귀가 포착된다는 것이 on-call 부담의 일부를 앞당겨 덜어낸다는 의미입니다.
시각
주목할 점은 타이밍입니다. 얼마 전 OpenAI가 Cursor와의 모델 공급 계약을 종료할 방침이라는 보도가 나왔습니다. 이 시점에 "배포 후 모니터링"과 "보안 리뷰"를 기본 기능으로 내놓는 것은 기업 고객이 가장 궁금해하는 질문에 답하는 것입니다. 문제가 생기면 누가 책임지는가. Rollouts가 "배포 이후"를 에이전트 워크플로에 편입한 것은 에이전트의 가치가 "빠르게 작성"에서 "망가뜨리지 않음"으로 이동하고 있음을 보여줍니다. Security Reviewer가 별도의 bot으로 존재한다는 것은 보안 리뷰가 수동 체크리스트에서 파이프라인의 기본 단계로 바뀌고 있다는 신호입니다. 업계 전체도 이 방향을 뒷받침합니다. AI 코딩 도구는 "코드 작성"에서 "배포 이후"로 경쟁 축을 옮기고 있으며, Anthropic의 Claude Security 역시 기업 대상 공개 베타 중입니다. 코드 보안 에이전트는 기업급 표준으로 자리잡는 중입니다.
