シークレットとネットワーク
Cloud Agents はプライバシーモードで利用できます。お客様のコードをトレーニングに使用することはなく、エージェントの実行に必要な期間に限りコードを保持します。プライバシーモードの詳細。
実行ライフサイクル、アクセスモデル、分離、暗号化、データ処理など、Cloud Agents のアーキテクチャとセキュリティの概要については、セキュリティ概要を参照してください。このページは、そこで説明するコントロールの設定リファレンスです。
プライバシーモード (レガシー) はサポートされていません。レガシープライバシーモードではクラウドへの データ保存がブロックされますが、Cloud Agents は実行中にコードと環境データをクラウドに 保存する必要��あります。Cloud Agents を使用する前に、ダッシュボード → Cloud Agentsからプライバシーモードに切り替えてください。
シークレットの保護
Cloud Agent に提供されるシークレットは、保存時と転送時に暗号化されます。Cloud Agent のユーザー以外は閲覧できません。
シークレットは、環境変数、Runtime Secrets、または Build Secrets として設定できます。
環境変数
タイプを Environment Variable に設定したシークレットは、Cloud Agent から参照できます。フラグや公開 URL など、エージェントが参照できると便利な非機密の設定に適しています。他のシークレットタイプと同様に、保存時および転送時には暗号化されています。
実行時シークレット
Runtime Secrets は以前、Redacted Secrets と呼ばれていました。
タイプ Runtime Secret で設定したシークレットは引き続き環境変数として読み込まれますが、その内容はエージェントのツール呼び出し結果、チャットの記録、コミット、コミットメッセージでは伏せ字となり、プレースホルダー文字列 [REDACTED] に置き換えられます。エージェントに公開すべきでなく、リポジトリに絶対にコミットしてはならない機密性の高い認証情報に適しています。
Runtime Secrets は内部的には引き続き環境変数として機能するため、エージェントには表示されませんが、Terminal を介してエージェントの環境を操作するユーザーには表示されます。
ビルドシークレット
タイプ Build Secret で設定したシークレットは、Docker ビルドプロセス (設定している場合) でのみ利用でき、実行中のエージェントの環境には公開されません。エージェントに公開すべきでないプライベートパッケージレジストリの認証情報やビルド時の認証情報に適しています。
Dockerfile 内で Build Secret を安全に使用するには、たとえば Docker シークレットマウントを使用して、RUN ステップから参照します。
RUN --mount=type=secret,id=MY_TOKEN,env=MY_TOKEN,required=true \ ./scripts/install-private-deps.shOIDC ID トークン
クラウドロールや内部 API では、シークレット に保存された長期有効キーではなく、短期有効な OIDC トークン を使用してください。Cloud Agent はローカルソケット経由で Cursor 署名付き JWT を発行し、AWS、GCP、Azure、Vault、または任意の OIDC 検証機能に提示できます。
署名付きコミット
Cloud Agents は、HSM で保護された Ed25519 キーを使用して、すべてのコミットに署名します。GitHub と GitLab では、これらのコミットに「Verified」バッジが表示されるため、チームはコミットが Cursor によって作成されたことを確認できます。
これはすべての Cloud Agents で自動的に行われます。セットアップは不要です。
リポジトリで署名付きコミットを必須とするブランチ保護ルールを適用している場合、Cloud Agent の PR は追加設定なしでそれらのルールを満たします。
Protected Git Scopes
チーム管理者は、Git organization を Cursor organization に紐づけることで、チームのみがそのリポジトリで Cloud Agents を起動できるように制限できます。Protected Git Scopes を参照してください。
知っておくべきこと
- 編集するリポジトリに対して、GitHub app に読み取り・書き込み権限を付与します。この権限を使用してリポジトリをクローンし、変更を加えます。
- コードは AWS インフラストラクチャ上の隔離された VM で実行され、エージェントにアクセス可能な間は VM のディスクに保存されます。
- エージェントはデフォルトでインターネットにアクセスできます。ネットワーク送信制御を設定すると、ユーザー、チーム、保存済み環境ごとに、エージェントがアクセスできるドメインを制限できます。
- エージェントはすべてのターミナルコマンドを自動実行するため、テストを繰り返し実行できます。これは、すべてのコマンドでユーザーの承認が必要なフォアグラウンドエージェントとは異なります。自動実行にはデータ流出のリスクがあります。攻撃者がプロンプトインジェクション攻撃を仕掛け、エージェントをだまして悪意のある Web サイトにコードをアップロードさせる可能性があります。クラウドエージェントにおけるプロンプトインジェクションのリスクに関する OpenAI の説明を参照してください。
- プライバシーモードが無効の場合、製品の改善のためにプロンプトと開発環境を収集します。
- Cloud Agent の開始時にプライバシーモードを無効にし、実行中に有効にしても、エージェントの完了まではプライバシーモードは無効のままです。
データ保持
Cloud Agent では、実行ごとに次の 2 種類のデータが保存されます。
- 会話履歴。 エージェントのトランスクリプトを構成するプロンプト、モデルのレスポンス、ツール呼び出し、デモアーティファクトです。Web またはデスクトップクライアントでエージェントを開いたときに表示されるデータです。
- 環境スナップショット。 仮想マシンのディスクをある時点で暗号化してコピーしたものです。スナップショットを使用すると、VM 環境をカスタマイズでき、リポジトリを再クローンしたりセットアップを再実行したりせずに、エージェントを開始または再開できます。
会話履歴は、過去の実行を確認して再開できるよう、デフォルトで無期限に保持されます。環境スナップショットは、非アクティブな状態が最大 90 日間続くまで保存されます。エージェントがスナップショットから開始または再開されるたびに、有効期限はさらに 90 日間延長されます。スナップショットが 90 日間使用されないと、プランやポリシーにかかわらず自動的に削除されます。
Delete Agent API を使用すると、Cloud Agent の会話履歴を明示的に削除できます。このエンドポイントにより、会話トランスクリプトとそのアーティファクトが削除されます。環境スナップショットは削除されません。オンデマンドで削除することはできず、代わりに上記の保持期間に従います。
Cloud Agent の保持ポリシー
カスタム保持期間は、一部の Enterprise チームを対象に早期アクセスで提供されています。アクセスをリクエストするには、営業にお問い合わせください。
Enterprise チームの管理者は、Cloud Agents ダッシュボードのチーム設定で、チームの Cloud Agent データの保持期間の上限を設定できます。選択できる期間は無期限と90 日間です。
ポリシーを90 日間に設定すると、次のようになります。
- バックグラウンドジョブによって、保持期間を超えた会話が削除されます。
- 環境スナップショットには、上記のローリング 90 日間の非アクティブ期間が引き続き適用されます。
- このポリシーは、保存済み環境からの実行や API 経由の実行を含む、チームが所有するすべてのエージェント実行に適用されます。
無期限に戻すと、それ以降の会話の削除は停止しますが、すでに削除されたデータは復元されません。
ネットワークアクセス
Cloud Agents がアクセスできるネットワークリソースを管理します。これらの設定は、個人ユーザー、保存済み環境、チーム管理者向けにCloud Agents ダッシュボードで利用できます。
プライベートネットワークアクセス
Cloud Agent は、プライベートリソースにアクセスするためにお使いのハードウェア上で実行する必要はありません。VPC やイントラネット内のサービスには、Cloud Agent 環境で Tailscale のユーザースペースネットワーク、Cloudflare Tunnel、または同様のプライベートネットワーククライアントを使用します。セットアップに関する注意事項は、Tailscale の実行 と Cloudflare Tunnel の実行 を参照してください。
Tailscale と Cloudflare Tunnel のどちらを使用する場合も、プライベートサービスがパブリックインターネットからのインバウンドトラフィックを受け入れる必要はありません。エージェントは認証済みのネットワーク経路を介して接続し、サービスはプライベートネットワーク内にとどまります。
Cloudflare Tunnel は、エージェントが認証済みの HTTPS ホスト名を介してプライベートサービスにアクセスできる場合に適しています。ネットワーク内のコネクタが Cloudflare へのアウトバウンド接続を確立し、Cloud Agent は他の外部 URL と同様にそのホスト名にアクセスします。Cloudflare Access のサービストークンでホスト名を保護し、トークン値を Cursor シークレットとして保存して、そのホスト名を Cloud Agent の許可リストに追加できます。
プライベートデータベースなどの TCP ターゲットには、エージェント環境でローカル TCP リスナーを公開するトンネルクライアントを使用します。エージェントは localhost に接続し、トンネルがトラフィックをプライベートオリジンに転送します。
プライベート GitHub Enterprise Server、GitLab Enterprise、ソース管理 API、Artifactory や Nexus などのパッケージレジストリ、および関連する webhook トラフィックには、Enterprise チームは AWS PrivateLink または Cloudflare Tunnel と組み合わせてプライベート接続を使用できます。
アクセスモード
Cloud Agents のアウトバウンドネットワークアクセスは、3 つのモードで制御されます。
| モード | 挙動 |
|---|---|
| すべてのネットワークアクセスを許可 | Cloud Agents は任意の外部ホストに接続できます。ドメイン制限はありません。 |
| Default + allowlist | Cloud Agents は、デフォルトドメインと、許可リストに追加したドメインに接続できます。 |
| Allowlist only | Cloud Agents は、許可リストに明示的に追加したドメインにのみ接続できます。 |
Allowlist onlyモードでも、Cloud Agents が機能するために、少数のドメインには引き続きアクセスできます。これには、Cursor のサービスとソースコード管理 (SCM) プロバイダーが含まれます。
アーティファクトのアップロード
Cloud Agents は、アーティファクト (PR に表示されるスクリーンショット、動画、ログ参照) を cloud-agent-artifacts.s3.us-east-1.amazonaws.com にアップロードします。
Default + allowlist または Allowlist only を使用している場合は、アーティファクトを正常にアップロードできるよう、許可リストに正確なホストを追加してください。エントリを *.s3.us-east-1.amazonaws.com に広げないでください。このワイルドカードを使用すると、そのリージョン内のすべてのバケットへの外部通信が許可され、プロンプトインジェクションを受けたエージェントによるデータ流出経路が生じます。ホストをブロックするとアップロードは無効になりますが、エージェントセッションやその他のツール呼び出しは引き続き機能します。
ユーザーレベルの設定
個々のユーザーは、Cloud Agents ダッシュボード の セキュリティ セクションでネットワークアクセスモードを設定できます。ユーザーレベルの設定は、作成するすべての Cloud Agents に適用されます。
許可リストを含むモード (Default + allowlist または Allowlist only) を選択すると、設定の下に許可リストの設定セクションが表示され、カスタムドメインを追加できます。
環境レベルの設定
保存済み環境ごとに、ネットワークアクセスモードと許可リストを設定できます。特定のリポジトリまたはリポジトリグループに、チーム内の他の環境より厳しい送信アクセス制限が必要な場合は、環境レベルの設定を使用します。
たとえば、本番環境に近い環境は 許可リストのみ に設定し、機密性の低い環境は デフォルト + 許可リスト のままにできます。より厳しい環境を使用するエージェントには、これらの制限が適用されます。
環境レベルの設定には、次の2つの継承オプションがあります。
| モード | 挙動 |
|---|---|
| 設定を継承 | 適用されるユーザーまたはチームのネットワークアクセス設定を使用します。 |
| 設定を継承 + 環境の許可リスト | 適用されるユーザーまたはチームの設定を使用し、環境の許可リストのドメインを追加します。 |
環境を直接 すべてのネットワークアクセスを許可、デフォルト + 許可リスト、または 許可リストのみ に設定することもできます。
チームレベルの設定
チーム管理者は、同じダッシュボードからチーム全体のデフォルトのネットワークアクセスモードを設定できます。チームレベルの許可リストは、管理者がサンドボックスのデフォルトネットワーク許可リストに設定する許可リストと同じです。別途管理する許可リストはなく、1つの許可リストでCloud Agentのネットワークアクセスとサンドボックスのデフォルトの両方を制御します。
チームレベルの設定がある場合：
- 環境で独自のモードが定義されている場合、その環境を使用するエージェントには環境設定が適用されます。
- 環境が設定を継承しており、ユーザーが独自の設定を構成している場合、ユーザー設定が優先されます。
- 環境とユーザーのどちらも設定を構成していない場合、チームのデフォルトが適用されます。
設定をロックする (エンタープライズ)
ロック機能は Enterprise チームでのみ利用できます。
Enterprise チームの管理者は、ネットワークアクセスポリシーをロックオプションを使用して、ネットワークアクセス設定をロックできます。ロックすると：
- チームレベルの設定が、各メンバーの個別設定にかかわらず適用されます。
- ユーザーは自身のダッシュボードからロックされた設定を変更できません。
これにより、管理者は組織全体の Cloud Agent のネットワークアクセスを完全に管理できます。
サンドボックスのネットワークポリシーとの関係
Default + allowlist モードの「Default」ドメインは、デスクトップ版エージェントのサンドボックスで使用されるデフォルトのネットワーク許可リストと同じです。チームレベルの許可リストも共通です。管理者がダッシュボードで許可リストを設定すると、Cloud Agent のネットワークアクセスとサンドボックスのネットワークポリシーの両方に適用されます。
送信元 IP 範囲
Cloud Agents は、外部サービス、API、リポジトリへのアクセス時に、特定の IP アドレス範囲からネットワーク接続を行います。
API エンドポイント
IP 範囲は、JSON API エンドポイントで確認できます。
curl https://cursor.com/docs/ips.jsonレスポンス形式
{ "version": 1, "modified": "2025-09-24T16:00:00.000Z", "cloudAgents": { "us3p": ["100.26.13.169/32", "34.195.201.10/32", "..."], "us4p": ["54.184.235.255/32", "35.167.37.158/32", "..."], "us5p": ["3.12.82.200/32", "52.14.104.140/32", "..."] }, "gitEgressProxy": ["184.73.225.134/32", "3.209.66.12/32", "52.44.113.131/32"]}- version: API レスポンスのスキーマバージョン番号
- modified: IP 範囲の最終更新日時を示す ISO 8601 タイムスタンプ
- cloudAgents: クラスターをキーとする IP 範囲を含むオブジェクト
- gitEgressProxy: git egress proxyで使用される IP アドレス
IP 範囲は CIDR 表記で公開されています。必要に応じて、オンライン変換ツールを使用して CIDR 表記を IP アドレス範囲に変換できます。
IP 範囲の使用
公開されているこれらの IP 範囲は、Cloud Agents で次の用途に使用されます。
- リモートリポジトリのクローンとプッシュ (Git エグレスプロキシ を使用する場合を除く)
- パッケージや依存関係のダウンロード
- 外部サービスへの API 呼び出し
- エージェント実行中の Web リソースへのアクセス
組織でファイアウォール ルールや IP 許可リストを使用してネットワークアクセスを制御している場合、Cloud Agents がサービスに適切にアクセスできるよう、これらの IP 範囲を許可リストに追加する必要がある場合があります。
重要な注意事項:
- スケーリングや運用上の必要に応じて、IP アドレスを随時変更します。
- IP アドレスによる許可リストを主要なセキュリティ対策として使用することは推奨しません。
- これらの IP 範囲を使用する必要がある場合は、JSON API エンドポイントを定期的に監視することを強く推奨します。
Git エグレスプロキシと IP 許可リスト
Cursor では、IP 許可リスト用の Git エグレスプロキシを使用する機能と似ているものの、異なる機能もサポートしています。このプロキシはすべての Git トラフィックをより限定的な IP アドレス群にルーティングし、GitHub、GitLab、Azure DevOps、Bitbucket を含むすべての Git ホストで機能します。
Git ホストについては、Cursor GitHub app と直接連携するため、上記リンクで説明している IP 許可リストの設定をおすすめします。
プロキシの IP アドレスを許可リストに直接追加する必要がある場合は、次のアドレスを使用してください。
184.73.225.1343.209.66.1252.44.113.131Origin IP
チームで Origin と Cloud Agents を併用している場合は、上記の Git エグレスプロキシ IP に加えて、以下の IP を許可リストに追加してください。
34.192.39.18250.16.106.25544.217.29.1243.223.245.20154.164.185.1034.194.133.2335.170.116.221これらの IP アドレスは固定です。リストが変更される場合は、IP 許可 リストを使用しているチームに、アドレスの追加または削除に先立って通知します。
プライベート GitHub Enterprise Server または GitLab Enterprise をデプロイしている Enterprise プランのお客様は、プライベート接続オプションを使用して、Cloud Agents と Bugbot からプライベートなソース管理システムにアクセスできます。