Cursor「Build Live Apps」　説明から公開リンクまで

米Cursorは、クラウドエージェントでWebアプリを組み立て、データベースと認証と公開まで進める機能「Build Live Apps」を出した。11月5日の更新履歴によると、対象はクラウドエージェントが使える有料プランだ。説明どおりにアプリを作ると、必要な場合はPostgresを用意し、CursorのSSOの後ろに認証を置き、選んだドメインで公開リンクを返す。

説明から公開リンクまで

同社の更新履歴は、クラウドエージェントに「アプリを作ってほしい」と明示して始めるよう書いている。エージェントはWebアプリの骨組みを作り、必要ならPostgresを起こし、CursorのSSOで守る認証を入れ、ホスティングを用意する。倉庫など外部のシステムにつなぐ時は、必要な秘密情報を利用者に尋ねる。エージェント自身は秘密の値を見ない。公開の段階では固有のドメインを選び、生きたリンクを受け取る流れだ。

リポジトリは、新しくCursor Originに作る場合と、既存のGitHubリポジトリから出す場合の両方に対応する。GitLabなどほかのGit提供者への対応はこれから、と更新履歴は記している。ローカルのエージェントではこの機能は動かない。ホスティングはチームごと（個人プランでは利用者ごと）に隔離された口座へ載る。社内のCursorでは、営業や法務、経理、エンジニアリングの各部署が、イベント登録や座席表、顧客向けの演示、新人向けの研修、営業のダッシュボードといった用途で使っているという。

公開前の検査が止まる条件

Cloud AgentsのAppsの説明によると、公開の直前に決まった検査と、エージェントによる検査が走る。ファイルに書かれたAPIキーやアクセストークン、秘密鍵や認証トークンを含む資格情報のファイルは公開を止める。.envとソースマップは出荷物から外す。これら4つは、セキュリティレビューを切っても常に有効だ。

そのうえでAIによるレビューがアプリのファイルを読み、深刻な問題があれば公開を止める。チームの管理者はレビュー用の指示を追加できるが、Cursor側の組み込み検査は外せない。検査に落ちた場合は、直すべき点が一覧で返り、利用者が直してから再度公開する。検査を通し、利用者が明示的に公開するまで、アプリは外に出ない。

管理者は、チーム向けにAppsのオンオフ、公開共有の可否、APIキーでアプリを開けるかの可否も変えられる。レビューが止めた公開を通す権限もあるが、悪意のあるコードや、ハードコードされた秘密情報、露出した資格情報は例外にできない。設定の変更はチームの監査ログに残る。

共有の範囲と自動化の入り口

共有は、特定の人やグループ、チーム全体、公開リンクの4通りがある。チームと企業向けでは、公開共有は既定で切れており、管理者がAppsの画面で切り替えられる。個人プランでは公開共有も選べる。チームの管理者は、チーム内のすべてのアプリと秘密情報を見られ、公開を取り消すこともできる。

自動化の入口として、CursorのAPIキーも用意された。プライベートやチームのアプリはCursorのサインインの後ろにあるため、スクリプトやGrok Botはヘッダー「x-cursor-app-token」にキーを付けて呼ぶ。キーはヘッダーだけで効き、クエリやCookieでは通らない。個人キーはその持ち主が開けるアプリに、チームキーは許可されたチームアプリにだけ通じる。

要するに、ローカルで止めていた試作を、検査と共有の範囲を決めたうえで、チームが触れる状態へ移せるようにした、と読める今回の発表である。クラウドエージェントが使える有料プランなら、Cursorを更新してすぐ試せる。

編集部の見方

編集部は、この機能を「コードを書くコストが下がったあとに残る、共有までの手間をまとめて引き受けたもの」と読む。効く条件はクラウドエージェントが使える有料プランに限られ、ローカルでは動かない。公開前の検査は、秘密情報の混入を止める点では心強い一方、レビューが止めた案件を管理者が通せる例外もある。手元で試す前に、チームの公開共有とAPIキーの許可がどうなっているかをAppsの画面で確かめるとよい。