［ニュース解説］Cursorが「自動レビュー」を導入——AIエージェントの自律性を分類器で動的に管理する仕組み

2026-06-16

はじめに

　Cursorは2026年6月11日、AIコーディングエージェントの自律性を動的に管理する新機能「自動レビュー(Auto Review)」を発表しました。エージェントのアクションを実行前に専用の分類器エージェントが評価し、リスクの大きさに応じて自由に進めるか慎重に進めるかを判断する仕組みです。本稿では、この発表内容をもとに、自動レビューの設計思想と分類器の構築方法、実際の運用データについて解説します。

参考記事

タイトル: 自動レビューでエージェントの自律性を管理する
著者: David Gomes & Travis McPeak
発行元: Cursor
発行日: 2026年6月11日
URL: https://cursor.com/ja/blog/agent-autonomy-auto-review

要点

Cursorは、ローカルエージェントの自律性をスイッチではなくダイヤルのように調整する「自動レビュー」を新たにリリースした
アクションの実行前に専用の分類器エージェントがコンテキストを踏まえてリスクを判定し、ユーザーの意図に沿っているかどうかを評価する
分類器は約12時間分の社内開発者セッションから6,122行のラベル付きデータと合成データを用いてテスト・調整されている
実際の運用では分類器が動作してもブロックされるアクションは約4%にとどまり、ユーザーへの割り込みが発生するchatは全体の約7%である
自動レビューは新規ユーザーにはデフォルトで有効になっており、既存ユーザーは設定画面から有効化できる

詳細解説

コンテキストに応じたリスク判断

　Cursorによれば、エージェントのアクションが持つリスクは状況によって変わるとされています。同じコマンドでも、あるワークフローでは問題なく、別のワークフローでは許容できない場合があるという考え方です。重要なのは、アクション単体の危険度ではなく、ユーザーのリクエストや判断を誤った場合の影響との関係です。

　この発想にもとづき、Cursorはエージェント全体の自律性を制御する「分類器」エージェントを開発しました。セキュリティ上の重要性が低い場合は寛容に、高い場合は慎重に判断するという基本ルールが設けられているとのことです。許可を求める頻度が高すぎると、確認プロンプトに人が注意を払わなくなり、承認フローそのものの意味が薄れてしまう、という課題への対応とも言えます。こうした「アラート疲れ」は、セキュリティ製品全般で繰り返し指摘されてきた問題であり、今回の設計はその解決を意識したものだと考えられます。

分類器の構築

　分類器の設計では、まずどのモデルを採用するかが重要な技術的判断となりました。分類器はツール呼び出しが実行される直前に動作するため、エージェントループに直接組み込まれており、精度と速度の両方が求められます。Cursorは複数のモデルや推論モードを比較検証し、速度と判断力のバランスが最も適したものを選んだと説明しています。

　興味深いのは、推論能力の低いモデルが必ずしも高速ではなかったという点です。ポリシーやツール呼び出しを十分に理解できないモデルは、質の低い答えを出すために余計な時間とトークンを消費してしまうことがあったとされています。最終的には、判断をきれいに下せるだけの推論力を持つ小型モデルが最良のトレードオフだったと報告されています。

　また分類器はエージェント型として構築されており、python script.py のようにファイルの中身次第で安全性が変わるコマンドについては、ReadFileやGrep、Glob、ListDirなどのツールを使ってワークスペースを調べた上で判断できる設計です。分類専用のエンドポイントは設けず、親エージェントと同じRPCストリーム内でサブエージェントに近い形で動作させることで、レイテンシの上乗せを避けているとのことです。

フィードバックループの設計

　Cursorは、分類器を単なる承認プロンプトの生成装置にはしたくなかったと述べています。アクションがブロックされた場合、分類器はその理由を親エージェントに返し、親エージェントはユーザーを中断させずに、より安全な進め方を選べる仕組みになっています。

　ここで重視されているのは、アクション単独の危険度ではなく、ユーザーがエージェントに依頼した内容に照らして正当化されるかどうかという観点です。これにより、通常の開発作業はそのまま進めながら、より重大な結果を伴うアクションに対してのみユーザーからの明確なシグナルを求める設計になっています。承認の要否を一律のルールではなく文脈ごとに判断するという考え方は、エージェントの実用性とセキュリティを両立させるうえで参考になる視点ではないかと思います。

分類器のテスト

　評価データの構築では、まず社内での使用データが活用されました。約12時間分の社内開発者セッションから重複を除去し、6,122行のラベル付きデータにまとめたとCursorは説明しています。さらに、通常の使用では現れにくい最悪のケース(シークレットの読み取り、本番データへのアクセス、信頼できない指示への追従など)を想定した合成データも用意されました。

　学習が進むにつれてポリシー自体も変化するため、分類器が認識すべき振る舞いのカテゴリが変わるたびに評価セットの再ラベル付けや再生成が必要になったとされています。評価は本番と同じバックエンドの分類器ループで実行され、最終的な許可・ブロックの判定に加え、判断前にどのようなコンテキスト調査が行われたかも確認されました。さらに、同じケースで結果がぶれる(例えば6回許可・4回ブロック)場合は、ポリシーやプロンプト設計が不十分なシグナルとして扱い、改善を重ねたとのことです。

即時ブロックを最小限に抑える

　実際の運用では、分類器によるレビューが必要になるアクションはごく一部とされています。多くのコマンドはすでにallowlistやサンドボックスでカバーされており、分類器が主に動作するのは、アクションにコンテキストに応じた判断が必要な場合です。

　Cursorによれば、分類器が動作した場合でもブロックされるアクションは全体の約4%にとどまり、ユーザーへの割り込みが発生するchatは自動レビューモード全体で約7%にすぎないとされています。比較として、Cursorが連携している一部の企業では、これまで組織内で約40%のアクションがブロックされていたケースもあったとのことです。この数値の差は、コンテキストを踏まえた判断によって不要な確認を大幅に減らせる可能性を示しているのではないかと思います。

エージェントの自律性の改善

　Cursorは、自動レビューはまだ初期段階にあり、エージェントの能力向上に応じて自律性の度合いに関する理解も変化し続けるとしています。現時点ではデスクトップアプリ上のローカルエージェントが対象ですが、今後は同様の考え方がより広い場面でのエージェント自律性の制御に影響を与えていくと見込まれています。

　エージェントの自律性管理は、グローバルな権限設定の有無という二択ではなく、状況ごとに細かく調整できることが重要だと思います。今回のような分類器を用いたアプローチは、AIエージェントを業務に組み込む際のセキュリティ設計を考えるうえで、一つの参考になる事例ではないでしょうか。

まとめ

　Cursorが発表した「自動レビュー」は、専用の分類器エージェントによってコーディングエージェントの自律性をきめ細かく管理する仕組みです。ブロック率は約4%、ユーザー割り込みは約7%程度に抑えられており、許可疲れを避けつつ安全性を確保する設計だと言えます。Cursorのクラウドエージェント構築に関する知見をまとめた過去記事もあわせてご覧いただければと思います。