3行でいうと

  • 既定では、機微な操作は手動の承認が要る、と公式は書いています。ターミナルのコマンドは既定で承認が要り、MCPの接続も承認が要ります。ファイルの読み取りと検索は承認なしです。
  • 承認を減らす「Run Modes」は3つ（Auto-review、Allowlist、Run Everything）です。公式は Auto-review を推奨とし、同時に「セキュリティの境界ではない」と明記しています。許可リストも同じ扱いです。
  • Privacy Mode を入れると、コードがCursorによる学習に使われない、と公式は書いています。ただし、自分のAPIキーを使う場合や、保存が必要な一部のモデル、Cloud Agentsなど、例外も書かれています。
  • .cursorignore は、Agent、Tab、インライン編集からファイルを遠ざけますが、ターミナルとMCPの道具からは遮れない、完全な保護は保証されない、と公式が書いています。

この記事は公式ドキュメントを2026年10月22日に読んでまとめたもので、実際に使って確かめた記録ではありません。運営者はCursorを入れていますが、使い心地はこの記事には書いていません。設定名やファイル名は公式の表記を写したもので、動作確認はしていません。公式の文章は要約の形で取得したため、引用は少数にとどめ、ほとんどは言い換えています。セキュリティの設定は、公式が書いている注意をそのまま伝えることを優先しました。

先に結論

前提：用語をそろえる

言葉 この記事での意味 確かさ
Run Modes Agentの道具の呼び出しを、いつ確認なしで通すかを決める3つのモード 文書に書かれている
許可リスト（allowlist） 承認なしで実行してよいコマンドやMCPのツールの一覧 文書に書かれている
サンドボックス コマンドを、ファイルとネットワークの範囲を絞った箱の中で動かす仕組み 文書に書かれている
分類器（classifier） Auto-reviewで、承認なしで通してよい呼び出しかを判定する仕組み 文書に書かれている
ワークスペース Cursorで開いているフォルダ 文書に書かれている
プロンプトインジェクション 読み込ませた文章の中に紛れ込ませた命令で、AIを操ろうとする攻撃 公式のAgent securityページは、プロンプトインジェクションなどでエージェントが予期しない動きをしうる、と書いている
ZDR（ゼロデータ保持） モデル提供元が、入力と出力を保存せず、学習にも使わない契約 文書に書かれている

既定の保護：何が承認なしで、何が承認つきか

公式のAgent securityのページ（確認日10月22日）が書いている既定の動きです。

操作 既定の扱い（公式の記載） 確かさ
ファイルの読み取り、コードの検索 承認なし 文書に書かれている
ワークスペース内のファイルの編集 承認なし。ただし、ワークスペースの設定ファイルなどの構成ファイルは、先に承認が要る 文書に書かれている
ターミナルのコマンド 既定で承認が要る 文書に書かれている
MCPの接続 すべて承認が要る。接続を承認したあとも、ツールの呼び出しごとに承認が要る 文書に書かれている
ネットワーク 既定では、GitHub、リンクの取得、検索サービスのみ。任意のネットワーク要求はできない 文書に書かれている

公式は、ファイルの変更はすぐディスクに保存されるので、戻すにはバージョン管理を使うこと、そして「自動リロード」を有効にしていると、レビューの前にエージェントの変更が実行されることがあること、を注意として書いています。ファイルを遠ざけたいときは .cursorignore を使う、とも書かれています。

Run Modes：承認を減らす3つのモード

Run Modesの設定場所は、デスクトップアプリの Settings > Agents > Approvals & Execution です。

モード 動き（公式の記載） 注意
Auto-review 許可リストの呼び出しは即実行。それ以外のシェルコマンドは、可能ならサンドボックスで実行。サンドボックスで足りないものは分類器が判定。シェル、MCP、Fetchの呼び出しが対象 公式が「推奨」とする既定。「セキュリティの境界ではない」
Allowlist 許可リストの操作は承認なしで実行。サンドボックスの利用は任意。分類器はない 許可リストにないものは承認の確認が出る
Run Everything すべての道具の呼び出しが自動で実行される。サンドボックスも分類器もない 公式は、リスクを受け入れて確認ゼロにしたい人向け、と説明

古いモードの扱いも書かれています。「Ask Every Time」はCursor 3.5（2026年5月22日）で非推奨になり、新しい利用者は選べません。同じ動きにしたい場合は、空の許可リストの Allowlist を使う、と書かれています。「Run in Sandbox」は、サンドボックスを有効にした Allowlist に統合されました。Auto-review が推奨の既定になったのは3.6（5月29日）と、公式の変更履歴にあります。読んだ範囲では、ベータや実験的という表示はありませんでした。

Auto-reviewの分類器。 公式の表記では、主なモデルは Gemini 3.5 Flash Lite、予備が Claude 4.5 Haiku です。組織の管理者が Claude 4.5 Haiku を禁止すると、Auto-review が使えなくなることがあるとも書かれています。

Auto-reviewの注意（公式の記載）。 - 「セキュリティの境界ではない」。分類器は、自分なら止めた呼び出しを通したり、通してよい呼び出しを止めたりしうる、と書かれています。 - サンドボックスの外で動かす必要のあるコマンドがあり、それは承認を求められます。 - 止められた呼び出しは、エージェントが別の方法を試すか、それでも必要だと考えれば、承認の確認が出ます。 - Cloud Agentsには Run Modes は適用されません。別のマシンで動き、承認を求めません。

ほかの保護。 自動のモードでも承認が要りうるものとして、3つが書かれています。Browser Protection（ブラウザの道具の自動実行を止める）、File-Deletion Protection（rm を含むファイル削除の自動実行を止める）、External-File Protection（ワークスペースの外のファイルの作成、変更、削除の自動実行を止める）です。

許可リストを書く：permissions.json

公式の Permissions のリファレンスによると、許可リストは ~/.cursor/permissions.json（全プロジェクト）と <ワークスペース>/.cursor/permissions.json（そのプロジェクト）に書けます。両方あれば、内容は上書きではなく連結されます。プロジェクト側をコミットすれば、チームで共有できます。

項目 内容（公式の記載）
terminalAllowlist 承認なしで実行してよいターミナルコマンド。大文字小文字を区別し、先頭が一致する形。git は git status に一致するが gitk には一致しない。npm:install* のように、コロンで基本のコマンドと引数のパターンを分ける書き方もある
mcpAllowlist 承認なしで実行してよいMCPのツール。サーバー名:ツール名 の形で、大文字小文字は区別しない。* が使え、my-server:* のように書く。コロンのない項目は無視される
autoRun allow_instructions と block_instructions に、普通の文章で指示を書く。Auto-review の分類器への指示で、シェル、MCP、Fetchの呼び出しだけに効く

優先順位は、高い順に、チーム管理者のダッシュボードの設定、permissions.json、IDEの設定の許可リスト、と書かれています。管理者の制御が効いている場合、permissions.json にも IDE の許可リストにも、項目を足すことはできない、と書かれています。

公式の注意。 この設定が効くには、Run Modeが有効（Auto-review、Allowlist、Run Everything）である必要があります。許可リストと autoRun は、あくまで利便性のための「ベストエフォート」で、公式は「セキュリティの境界ではない」と明記しています。許可の指示も安全確認を通り、ブロックの指示も、Cursorが必要だと判断すれば承認されうる、と書かれています。

サンドボックス：コマンドを箱に入れる

設定ファイルは ~/.cursor/sandbox.json と <プロジェクト>/.cursor/sandbox.json です。プロジェクト側が優先され、チームの方針が上に重なります。既定は次のとおりです。

読み取りの範囲（Cursor 3.23以降）。 Settings > Agents > Approvals & Execution の Read Access に2つの値があります。System（既定）はワークスペースの外のファイルも承認なしで読み、Workspace は、外のファイルの読み取りに、Read Allowlist に入っているもの以外は承認が要ります。sandbox.json では readBoundary と additionalReadPaths で指定します。Run Everything では、この設定は表示されません。

Linuxでの注意。 サンドボックスの中のコマンドでは、id -u や $UID が0を返します。元のユーザーの番号は、環境変数 CURSOR_ORIG_UID と CURSOR_ORIG_GID で見ます。

CLIの場合

CLIは、別の許可の仕組みを持っています。設定ファイルは ~/.cursor/cli-config.json（全体）と <プロジェクト>/.cursor/cli.json（そのプロジェクト）で、permissions の下に allow と deny の配列を書きます。種類は Shell(...)、Read(...)、Write(...)、WebFetch(...)、Mcp(サーバー:ツール) です。拒否が許可より優先される、と書かれています。拒否の例として、公式は Shell(rm)、Read(.env*)、Write(**/*.key) を挙げています。WebFetch(*)（どのドメインでも取得してよい）と Mcp(*:*)（全MCPツールを許可）は、公式が注意を促しています。

画面を出さない印刷モード（-p）では、エージェントが書き込みとシェルの道具を使え、許可ルール、拒否ルール、--force で、確認なしで動く範囲が決まる、と書かれています。--force は、確認なしでファイルを直接変更することを許す旗で、これがないと、提案するだけで適用しない、とヘッドレス（CI）のページにあります。一方、CLIのCapabilitiesのページには、非対話モードで「Cursorは書き込み権限を持つ」という趣旨の記載があり、2つのページの書きぶりは、そのままでは合いません。どちらが正確かは、読んだ範囲では決められませんでした。sudo が要るときは、パスワードの入力欄が伏せ字で出て、AIのモデルには見えない、と公式は書いています。

.cursorignore：見せたくないファイルを遠ざける

プロジェクトのルートに置くファイルで、書き方は .gitignore と同じです。公式の説明では、Agent、Tab、インライン編集がコードに届くのを防ぎ、@で呼び出す参照も防ぎます。

ただし、公式は限界を書いています。 - ターミナルとMCPの道具は、.cursorignore で守られたコードに届いてしまう、と書かれています。 - 「LLMの予測できなさのため、完全な保護は保証されない」という趣旨が書かれています。 - 親のフォルダを * で除外すると、その中のファイルを ! で戻すことはできません。除外されたフォルダの中は調べられないためです。

既定で無視されるもの。 .gitignore の内容と、公式の既定リスト（ロックファイル、.env*、.git/、バイナリ、node_modules/ など）です。全プロジェクト共通の「グローバルな無視」もあり、既定では空で、環境ファイル、credentials.json、*.key、*.pem、id_rsa などの例が書かれています。親のフォルダも探す「Hierarchical Cursor Ignore」というオプションもあります（Cursor Settings > Indexing > Ignore Files）。.cursorindexingignore は、読んだページに記載がありませんでした。

MCPとワークスペースの信頼

MCP。 公式のMCPのページは、信頼できる作者とリポジトリのサーバーだけを入れる、サーバーがアクセスするデータとAPIを確認する、権限を最小にした制限つきのAPIキーを使う、重要な連携ではサーバーのソースを読む、と書いています。「MCPサーバーは、外部のサービスにアクセスし、あなたの代わりにコードを実行できる」とも書かれています。機微なサーバーは、stdio でローカルに動かす、秘密は環境変数に置き、ファイルに直接書かない、とも書かれています。承認は、Run Modesと同じ仕組みに従い、Auto-reviewでは、許可リストのツールは確認なし、それ以外は分類器が見ます。管理者は、承認済みのサーバーの中で自動実行してよいツールを絞れます。

ワークスペースの信頼（Workspace Trust）。 既定では無効と書かれています。有効にすると、新しいワークスペースを開くとき、通常モードか制限モードかを選ぶ画面が出ます。ユーザーの settings.json に "security.workspace.trust.enabled": true を足して有効にします。公式は、制限モードではAI機能が動かなくなり、信頼できないリポジトリは、基本的なテキストエディタで開くよう書いています。組織は、MDMで強制できます。

Privacy Mode：データの扱い

公式のData useのページ（2026年9月3日更新と表示）は、Privacy Mode を1つの設定として説明しています。

状態 公式の記載 確かさ
オン 顧客データはCursorに学習に使われない。すべてのモデル提供元とZDR契約がある。ただし不正利用の検知に引っかかった場合、調査のために保存され、各提供元の保持方針で削除されることがある 文書に書かれている
オフ コードベースのデータ、プロンプト、エディタ上の操作、コードの断片が、AI機能の改善とモデルの学習のために使われ、保存されることがある。推論の提供元が、入出力を一時的に保存することもある 文書に書かれている

オンにする場所。 ヘルプによると、Cursor Settings（Cmd/Ctrl+Shift+J）の General で Privacy Mode を切り替えます。

既定の状態。 ヘルプのページは、Teamsでは全メンバーで既定で有効、Enterpriseでは既定でオンと書き、管理者はダッシュボードで強制できるとしています。一方、Privacy and Data Governance のdocsは、Enterpriseは既定でオンと書き、チーム単位で有効にして管理者が強制できる、とも書いていますが、Teamsの既定そのものは、読んだ範囲では見つかりませんでした。つまり、Teamsの既定を明記しているのはヘルプだけで、docsとは書き方がそろっていません。個人プランの既定は、どちらのページにも書かれていませんでした。自分の設定画面で確かめるのが確実です。

例外と注意（公式の記載）。 - 自分のAPIキーを使う場合、ZDRは適用されず、提供元のプライバシー方針に従います。リクエストはCursorのバックエンドを通ります。 - 一部のモデルは、提供元でのデータ保持が必要で、CursorのZDR契約の外にあります。これらは既定でオフ、または管理者の承認が要ります。Privacy and Data Governance のdocsは、Anthropicが入出力を有害利用の確認のために保存する2つのモデルを名指しし、学習や製品改善には使われないとしています。管理者が承認するまで、リクエストは失敗する、と書かれています。 - ファイルの内容は、遅延を減らすために一時的にキャッシュされます。クライアントが作った鍵で暗号化され、鍵はリクエストの間だけサーバーにある、と書かれています。 - Cloud Agents は、コードをCursor側に保存する必要がある唯一の機能で、暗号化したリポジトリのコピーを、実行中だけ一時的に保存し、完了後に削除する、とあります。セキュリティの方針でコードの保存が禁じられている場合は、無効にしておくよう書かれています。 - Grok Bot は別の製品面で、独自のデータの流れがある、と書かれています。

コードの検索。 公式のコードベース検索のページは、Instant Grep が索引を手元のマシンで作り、ファイルパスやコードをアップロードせず、コードベースの埋め込み（embeddings）も保存しない、と書いています。ただし、Agentがマッチしたファイルを開くと、その内容はモデルへのリクエストに入りうる、とも書いています。

法的な枠組み。 データ処理契約（DPA）は、TeamsとEnterpriseに適用され、個人プランはプライバシーポリシーに従う、とヘルプにあります。

セキュリティのページに書かれていること

cursor.com/security（2026年8月25日更新と表示）の内容です。

誤解されやすい点と、今日からできること

誤解されやすい点

今日からできること、避けたいこと

気をつけること

出典