---
title: "Agent 安全邊界"
description: "基於 Cursor 官方 Agent Security 和 Privacy 文件解釋審批、.cursorignore、allowlist、MCP、網路、workspace trust 和 Privacy Mode。"
verifiedAt: "2026-05-09"
---

Cursor Agent 能讀檔案、改檔案、跑命令、連工具，也會面對 prompt injection、hallucinations 和其它不確定行為。官方 Agent Security 文件的核心結論是：預設敏感動作需要人工批准，這些 guardrails 建議保持開啟。

> [!NOTE]
> **閱讀目標**：讀完本章，你應該能說清哪些 Agent 動作預設要審批，`.cursorignore` 和 allowlist 的邊界是什麼，以及 Privacy Mode 覆蓋和不覆蓋什麼。

## 1. 預設 guardrails

官方文件說明：這些控制和行為是預設值，並建議保持開啟。

| 動作 | 預設行為 | 你要做什麼 |
| --- | --- | --- |
| Read files / search code | 不需要審批 | 用 `.cursorignore` 阻止 Agent 訪問特定檔案 |
| Edit workspace files | 可直接儲存到磁碟 | 必須用 Git，隨時可 revert |
| Edit configuration files | 需要審批 | 看清影響範圍再批准 |
| Run terminal commands | 預設需要審批 | 每條命令都要審查 |
| Sensitive data exposure | 需要明確批准 | 不讓 Agent 觸碰金鑰、客戶資料、生產憑據 |
| MCP tool calls | 連線和每次呼叫都需要審批 | 只批准必要工具 |

> [!WARNING]
> 官方特別提醒：如果專案啟用了 auto-reload，Agent 儲存的改動可能在你 review 前就被執行。前端 dev server、watch scripts、熱更新後臺都屬於這類風險面。

## 2. 檔案和配置

Agent 可以不經審批修改 workspace files，但 configuration files 需要你先批准。官方給出的工程建議是：始終使用 version control，這樣 Agent 走錯時可以回退。

```mermaid
flowchart TD
  Agent["Cursor Agent"] --> Read["Read / search files"]
  Agent --> Edit["Edit workspace files"]
  Agent --> Config["Edit configuration files"]
  Agent --> Terminal["Run terminal commands"]
  Read --> Ignore["Use .cursorignore for blocked files"]
  Edit --> Git["Use Git for revert path"]
  Config --> Approval["Manual approval"]
  Terminal --> Review["Review every command"]
```

`.cursorignore` 是檔案可見性的邊界工具。它適合遮蔽 secrets、private notes、customer exports、large generated files 等不應進入 Agent context 的內容。

## 3. Terminal、allowlist 和 Run Everything

官方文件說明：terminal commands 預設需要審批。你可以啟用 auto-approval，但這是接受風險後的選擇。

關鍵邊界：

- Allowlist 是 best-effort，不是安全保證。
- Bypass 是可能的。
- 不要使用 `Run Everything` mode，因為它會跳過所有 safety checks。
- Terminal commands 和 MCP tools 的 allowlists 可以透過 settings UI 或 `~/.cursor/permissions.json` 管理。

<details>
<summary>深讀：allowlist 為什麼不是安全邊界</summary>

Allowlist 的目標是減少重複審批，不是證明命令安全。命令可能透過 shell expansion、指令碼間接呼叫、引數拼接或外部工具行為繞過你的直覺。

所以 allowlist 只適合低風險、可預測、冪等的命令。涉及刪除、網路上傳、許可權修改、生產資料、金鑰讀取的動作，不應該靠 allowlist 放行。
</details>

## 4. MCP 和網路請求

官方文件說明：第三方工具透過 MCP 接入。所有 MCP connections 都需要審批；連線批准後，每次 tool call 仍然需要單獨審批。你可以為特定 tools 預批准 MCP allowlist。

網路請求方面，官方說明預設工具只會向這些方向發起網路請求：

- GitHub。
- Direct link retrieval。
- Web search providers。

預設設定下，Agents 不能發起 arbitrary network requests。團隊裡一旦接入 MCP 或命令列工具，就要重新評估網路出口。

## 5. Workspace Trust

Cursor 支援 VS Code 的 workspace trust，但官方說明它預設關閉。啟用後，新 workspace 會提示你選擇 normal 或 restricted mode；restricted mode 會破壞 AI features。對 untrusted repos，官方建議用基礎文本編輯器。

啟用方式是在 user `settings.json` 中加入：

```json
"security.workspace.trust.enabled": true
```

組織可以透過 MDM（Mobile Device Management，移動裝置管理，企業用來統一推下發裝置策略的系統）enforce 這個設定。

## 6. Privacy Mode

官方 Privacy 文件說明：Privacy Mode 會確保你的程式碼不會被 AI model providers 儲存或用於訓練。開啟後，Cursor 會對 OpenAI、Anthropic、Google、xAI 等 model providers 執行 zero data retention agreements（ZDR，零資料保留協議——供應商承諾請求處理完成後立即刪除資料）。

開啟入口：

| 系統 | 開啟 Cursor Settings |
| --- | --- |
| Mac | `Cmd + Shift + J` |
| Windows / Linux | `Ctrl + Shift + J` |

進入 **General** 後開啟 **Privacy Mode**。Teams 預設開啟 Privacy Mode；Admins 可以在 dashboard 裡 organization-wide enforce，防止成員關閉。

Privacy Mode 仍有邊界：

- 使用 AI features 時，prompts 和 code context 仍會傳送給 model providers。
- Privacy Mode 開啟後，providers 不能儲存或訓練這些資料。
- 資料 at rest 和 in transit 都加密。
- 使用自己的 API keys 時，ZDR 不適用，資料處理遵循你所用 provider 的 privacy policy。

## 7. 團隊安全清單

落地 Cursor Agent 前，至少定這些規則：

- 哪些檔案進入 `.cursorignore`。
- 哪些 terminal commands 可以審批，哪些必須禁止。
- 是否允許 auto-approval。
- 禁止 `Run Everything`。
- 哪些 MCP servers 可以連線。
- MCP tools 是否允許 allowlist。
- Privacy Mode 是否強制開啟。
- 自帶 API keys 時由誰負責 provider privacy policy。
- Agent 造成改動後，必須用 Git diff、測試和 review 驗收。

## 本章自檢

完成本章後，用這 3 個問題檢查自己是否真正理解：

1. Cursor Agent 對檔案讀取、檔案編輯、配置編輯、終端命令的預設審批邊界分別是什麼？
2. 為什麼 allowlist 不是安全保證？
3. Privacy Mode 開啟後，什麼資料仍會傳送給 model providers，什麼不會被他們儲存或訓練？

透過標準：你能為一個團隊 Cursor 專案寫出最小安全策略，覆蓋檔案、命令、MCP、網路、Privacy Mode 和回退。

## 官方來源

- [Cursor Agent Security](https://cursor.com/docs/agent/security.md) —— 官方說明 first-party tools、terminal approval、allowlist、MCP、network requests、workspace trust 和 disclosure。
- [Cursor Privacy and Data](https://cursor.com/help/security-and-privacy/privacy.md) —— 官方說明 Privacy Mode、ZDR、AI providers、team enforcement、API key exception 和 enterprise controls。
- [Cursor Permissions Reference](https://cursor.com/docs/reference/permissions.md) —— 官方說明 terminal 和 MCP allowlist 配置。

## 接下來去哪

<Cards>
  <Card title="上下文與擴充套件" description="繼續看 Rules、MCP、Skills、Hooks 和 Plugins。" href="/zh-Hant/docs/cursor/official/02-context-customization" />
  <Card title="團隊與企業" description="繼續看 Privacy、SSO、合規和模型治理。" href="/zh-Hant/docs/cursor/official/06-teams-enterprise" />
</Cards>
