Cursor har i årevis været kendt som den AI-editor, der skriver kode hurtigere end konkurrenterne kan følge med til. Den 23. september 2026 skiftede firmaet fokus. I stedet for endnu en funktion til at generere kode lancerede Anysphere-selskabet to bots, der skal holde øje med koden efter den er skrevet: Rollouts og Security Review. Det er et tydeligt signal om, hvor AI-kodeværktøjer er på vej hen i slutningen af 2026 — fra ren produktion af kode til drift, overvågning og sikkerhed.
De to bots kommer kun tre uger efter GitHub Copilot begyndte at rulle Claude Opus 5.5 og OpenAI’s GPT-6 Sol og Luna ud til sine brugere, og otte måneder efter Cursor lancerede sin første automatiserede kodegennemgangsbot, Bugbot. Nu deler Cursor ansvaret op: Bugbot tager sig af almindelig kodekvalitet, mens Security Review specialiserer sig i sårbarheder, og Rollouts følger ændringen hele vejen fra pull request til produktionsmiljø. Herunder gennemgår vi, hvad de nye bots faktisk gør, hvordan de passer ind i konkurrencen mod GitHub Copilot, Snyk og GitLab Duo, og hvad lanceringen betyder for udviklerteams i Danmark og resten af Norden.
Hvad er Rollouts og Security Review?
Cursor beskrev selv lanceringen som “bots for the last mile of shipping code” i sit changelog. Det dækker over to adskilte produkter, der begge køres fra Cursors automations-dashboard, men løser forskellige problemer. Rollouts er en overvågningsbot, der kobles på en pull request og følger den ændring gennem hele deployment-processen. Security Review er en sikkerhedsbot, der læser hver pull request i sammenhæng med resten af kodebasen og leder efter fejl, som en angriber faktisk kan udnytte, i modsætning til generelle kodekvalitetsproblemer.
Forskellen er vigtig, fordi de to bots dækker to faser af udviklingscyklussen, som AI-kodeværktøjer historisk har ignoreret. De fleste AI-assistenter, inklusive tidligere versioner af Cursor selv, stopper med at være nyttige, når koden er merget. Rollouts og Security Review flytter i stedet fokus til det, der sker efter merge: bliver ændringen deployet korrekt, opfører systemet sig som forventet i produktion, og indeholder den nye kode sikkerhedshuller, der først bliver synlige, når man ser på hele datastrømmen frem for enkelte linjer.
Sådan overvåger Rollouts kode fra pull request til produktion
Rollouts arbejder i flere trin. Når en udvikler åbner en pull request, læser bot’en diffen og identificerer, hvilke systemer ændringen påvirker. Ud fra det skriver den en overvågningsplan, som posteres som en kommentar på selve pull requesten, og som udvikleren kan redigere, før den tages i brug. Planen ligger klar og venter, indtil koden rent faktisk deployes.
Når deploymentet sker, vågner Rollouts og begynder at holde ændringen op mod organisationens logs, metrics og traces. Her ligger en detalje, der skiller Rollouts fra almindelige alarmsystemer: bot’en holder styr på miljøer separat. En ændring kan altså blive markeret som sund i staging, men samtidig blive flagget i produktion, hvis de to miljøer opfører sig forskelligt under reel trafik. Resultatet rapporteres i tre kategorier, som Cursor kalder “verified healthy”, “regression detected” og “inconclusive”.
For at få Rollouts til at virke skal en organisation koble tre systemer sammen: versionsstyring, deployment-systemet og en telemetriudbyder, der leverer logs og metrics. Først derefter kan bot’en aktiveres fra Cursors automations-side. Cursor har selv beskrevet Rollouts som sin egen udgave af det, startup’en Firetiger tidligere kaldte “Change Monitors”, nu genbygget internt med det, Cursor kalder sit “Bot Development Kit”. Det er samme udviklingsramme, som ligger til grund for Security Review og den ældre Bugbot.
Rollouts – statusrapportering pr. miljø
Staging: verified healthy
Produktion: regression detected
Kommentar: Fejlrate steget 4x efter deploy kl. 14:02Security Review: jagten på sårbarheder i hver pull request
Hvor Rollouts kigger fremad mod produktion, kigger Security Review indad i selve koden. Bot’en analyserer hver pull request i konteksten af hele kodebasen, ikke bare de linjer, der er ændret, og forsøger at spore, hvor brugerstyret input kommer ind i systemet, og hvordan det transformeres og videresendes. Det gør den i stand til at finde fejl, som en linje-for-linje gennemgang typisk overser.
Cursor nævner konkret flere kategorier af fejl, Security Review leder efter: injektion i SQL, kommandoer og skabelonmotorer, fejl i autentificering og autorisation (herunder tilfælde hvor en refaktorering ved et uheld fjerner en eksisterende sikkerhedstjek), hardkodede secrets og adgangskoder, SSRF, uvaliderede redirects, usikker deserialisering samt afhængighedsopdateringer, der introducerer kendte sårbarheder. Det er stort set de samme kategorier, som OWASP fremhæver i sin liste over de mest almindelige webapplikationsrisici.
Cursor er tydelig omkring, at Security Review er tænkt som noget andet end Bugbot. Bugbot dækker generel kodekvalitet, logiske fejl og performance. Security Review er skåret til at fokusere på det, der reelt kan udnyttes af en angriber. Det er en arbejdsdeling, som ligner den, man ser hos specialiserede sikkerhedsfirmaer, hvor statisk kodeanalyse og sårbarhedsscanning ofte er separate produkter fra generel code review.
Fra Bugbot til to specialiserede bots
Historien bag lanceringen starter ikke den 23. september. Cursor introducerede Bugbot i sin nuværende form med et blogindlæg kaldet “Building a better Bugbot” den 15. januar 2026. Bot’en blev beskrevet som en agent, der analyserer pull requests for logiske fejl, performanceproblemer og sikkerhedssårbarheder, før koden når produktion, og den har siden fået sin egen API med en dryRun-funktion til test og adgang til analyser af tidligere reviews.
Otte måneder senere, den 15. september 2026, offentliggjorde Cursor en kundecase med databasefirmaet PlanetScale under titlen “PlanetScale protects production reliability with Bugbot”. Historien pegede allerede dengang mod det, der kom en uge efter: at Bugbots rolle var ved at blive delt op. I dag beskriver Cursor selv Rollouts og Security Review som en specialisering af det, Bugbot startede med, snarere end en direkte afløser. Bugbot findes stadig og dækker fortsat bugs, sikkerhed og kodekvalitet i sin brede form, mens de to nye bots går dybere på hver deres smalle felt.
Hvem kan bruge de nye bots — og hvem må vente
Begge bots er ved lancering forbeholdt Cursors Teams- og Enterprise-planer. Det betyder, at soloudviklere på Individual- eller Pro-abonnementer ikke har adgang endnu, uanset hvor meget de bruger Cursor til daglig kodning. Det er en klar prioritering fra Cursors side: produktionsovervågning og sikkerhedsgennemgang sælges som et virksomhedsværktøj, ikke som en bekvemmelighed for den enkelte udvikler.
Begge funktioner styres fra Cursors automations-dashboard, hvor en organisation aktiverer dem efter først at have forbundet de nødvendige systemer. For Security Review er kravet enklere, fordi bot’en primært skal have adgang til selve kodebasen og pull request-flowet. For Rollouts er opsætningen tungere, fordi den kræver integration med både deployment-pipeline og et telemetrisystem, før den kan begynde at rapportere noget som helst. Har man ikke selv sat Cursor op før, er trinene til at forbinde repository og automations stort set de samme, som shattered.io har beskrevet i sin egen guide til Cursor AI, Composer og MCP.
Cursor har ikke offentliggjort separate priser for de to bots, ingen forbrugsbaseret takst pr. gennemgang og ingen oplysninger om, hvorvidt de trækker på virksomhedens almindelige model-kvote eller et separat budget. Det gør det svært for en dansk IT-afdeling at budgettere præcist, før man selv har testet funktionerne i en Teams- eller Enterprise-aftale.
Cursor i egne ord: sådan beskriver firmaet lanceringen
Cursor har ikke sat navn på nogen medarbejder i forbindelse med lanceringen. Al kommunikation kommer fra virksomhedens eget changelog og officielle X-konto, og det er derfor de kilder, citaterne herunder stammer fra.
“Today we’re launching two Cursor bots for the last mile of shipping code.”
Cursor, i sit officielle changelog
Om selve overvågningsfunktionen skriver Cursor direkte, at “Rollouts watches every change as it deploys and reports its health per environment”, ifølge samme changelog-indlæg. Det understreger, at bot’en ikke bare tjekker én gang, men følger ændringen kontinuerligt og adskiller resultater efter miljø.
Om Security Review er formuleringen tilsvarende kort og konkret: “Security Review reports exploitable bugs on every pull request”, igen fra Cursors eget changelog. Ordet “exploitable” er valgt med omhu. Cursor lægger vægt på, at bot’en ikke larmer med enhver teoretisk kodesvaghed, men forsøger at prioritere det, der faktisk kan misbruges.
På sin officielle X-konto beskrev Cursor Rollouts-processen med ordene “Rollouts write a monitoring plan, then watch changes as they deploy”, og fulgte op med løftet om, at “deployments are verified, so regressions are caught before users see them”. Det er den kortest mulige version af hele værditilbuddet: planlæg, overvåg, fang fejlen før brugeren gør.
Cursors vækst: fra kodeeditor til sikkerhedsplatform
Lanceringen kommer, mens Cursor og moderselskabet Anysphere er midt i en periode med kraftig kommerciel vækst. Shattered.io har tidligere beskrevet, hvordan Cursor angiveligt blev værdisat til 60 milliarder dollar i forbindelse med en rapporteret SpaceX-relateret transaktion i august 2026. Firmaet har også tidligere lanceret sin egen kodehosting-platform, Cursor Origin, som et forsøg på at flytte endnu et led i udviklingscyklussen ind i Cursors eget økosystem. Brancherapporter, som ikke er bekræftet direkte af Cursor selv, har desuden peget på en årlig omsætning (ARR) på over 4 milliarder dollar i løbet af 2026 og en samlet finansiering i omegnen af flere milliarder dollar over seks investeringsrunder. Tallene varierer mellem kilder, og de bør derfor læses som brancheestimater snarere end reviderede regnskabstal.
Uanset de præcise tal er retningen tydelig: Cursor bruger en del af sin vækst på at bygge produkter, der rækker ud over selve kodeeditoren. Bugbot, Rollouts og Security Review er alle eksempler på, at firmaet forsøger at eje flere trin i udviklingscyklussen, ikke bare det trin, hvor koden skrives. Det er en strategi, der ligner den, GitHub har fulgt med Copilot i flere år, hvor kodeforslag efterhånden er blevet en mindre del af den samlede produktpakke sammenlignet med agent-funktioner, review-værktøjer og sikkerhedsfeatures.
Sammenligning: Cursor mod GitHub Copilot, Snyk og GitLab Duo
Ingen af de tre konkurrenter har på nuværende tidspunkt en bekræftet funktion, der er identisk med Rollouts. GitHub Copilot har fokus på AI-assisteret rettelse af sårbarheder gennem sin autofix-funktionalitet, men ingen offentliggjort funktion, der følger en specifik pull request ind i produktionsmiljøet og rapporterer sundhedstilstand pr. miljø. Snyk er stadig først og fremmest bygget omkring statisk kodeanalyse og scanning af afhængigheder, og GitLab Duo lever i forlængelse af GitLabs eksisterende DevSecOps-platform med CI/CD-integration som sin styrke.
| Funktion | Cursor (Rollouts + Security Review) | GitHub Copilot | Snyk | GitLab Duo |
|---|---|---|---|---|
| Overvågning efter deploy | Rollouts sporer PR’en via logs, metrics og traces pr. miljø | Ingen bekræftet tilsvarende funktion | Ikke kernefokus, primært afhængigheder | Ingen bekræftet tilsvarende funktion |
| Sårbarhedsscanning i PR | Security Review sporer datastrømme for udnyttelige fejl | AI-assisteret autofix og rettelsesforslag | Statisk kodeanalyse og afhængighedsscanning | AI-assisteret sårbarhedsforklaring i CI/CD |
| Generel kodegennemgang | Bugbot (separat, bredere bot) | Copilot code review | Ikke kerneprodukt | Duo code review |
| Plantilgængelighed | Kun Teams og Enterprise | Varierer efter Copilot-plan | Free, Team og Enterprise-tiers | Duo Pro og Enterprise-tiers |
| Seneste sikkerhedslancering 2026 | 23. september (Security Review) | Løbende modeloprustning gennem 2026 | Løbende produktopdateringer | CVE-2026-18252 lappet i 2026 |
Tabellen skal læses som en kvalitativ sammenligning, ikke en benchmark. Ingen af parterne har offentliggjort en kontrolleret test, hvor de fire produkter måles mod hinanden på samme datasæt af sårbarheder, og Cursor har ikke selv oplyst nogen fangstrate, falsk-positiv-rate eller ydelsestal for Security Review eller Rollouts. Det samme gælder for de tre konkurrenter, hvor offentligt tilgængelige benchmarks stadig er sparsomme.
Tidslinje: Cursors bot-strategi i 2026
Lanceringen af Rollouts og Security Review er ikke en enkeltstående begivenhed, men det seneste skridt i en linje af produktbeslutninger, der strækker sig tilbage til starten af året. Tabellen herunder samler de vigtigste datoer.
| Dato | Begivenhed |
|---|---|
| 15. januar 2026 | Cursor udgiver “Building a better Bugbot” og udvider sin PR-gennemgangsbot |
| 14. august 2026 (rapporteret) | Brancherapporter peger på en SpaceX-relateret værdisætning af Cursor til 60 mia. dollar (ubekræftet af Cursor) |
| 15. september 2026 | Cursor udgiver kundecasen “PlanetScale protects production reliability with Bugbot” |
| 23. september 2026 | Rollouts og Security Review lanceres til Teams- og Enterprise-planer |
| 25. september 2026 | OpenAI’s Codex CLI 0.157.0 registreres, med GPT-6 Sol og Luna til Amazon Bedrock — et parallelt tegn på tempoet i branchen |
Hvorfor sikkerhed er blevet AI-kodeværktøjernes nye slagmark
Lanceringen falder på et tidspunkt, hvor AI-genereret kode i stigende grad bliver set som en potentiel risiko snarere end kun en produktivitetsgevinst. Når store dele af en kodebase skrives eller redigeres af en AI-agent, stiger behovet for et sikkerhedslag, der kan holde trit med tempoet. En menneskelig reviewer kan simpelthen ikke læse hver linje, når en agent producerer ændringer i et tempo, der overgår, hvad et team af udviklere kunne skrive manuelt.
Det skaber et paradoks, som flere sikkerhedsfolk har påpeget de seneste år: samme AI, der gør det muligt at skrive kode hurtigere, er også den, der skal bruges til at fange fejlene, den selv risikerer at introducere. Security Review er et konkret svar på det paradoks, fordi bot’en ikke kun ser på den nye kode isoleret, men på hvordan input bevæger sig gennem hele systemet. Det gør den bedre rustet til at fange fejl, der først bliver synlige, når man ser sammenhængen mellem flere filer og funktioner.
Samtidig rammer lanceringen et marked, hvor autorisationsfejl og hardkodede secrets fortsat er blandt de mest almindelige årsager til datalæk, ifølge OWASP’s liste over de ti mest kritiske webapplikationsrisici. Det er præcis de kategorier, Cursor selv nævner som fokusområder for Security Review, hvilket tyder på, at bot’en er bygget med afsæt i velkendte, dokumenterede angrebsmønstre snarere end eksotiske nye trusler.
Markedseffekt: hvad betyder det for udviklerteams og sikkerhedsansvarlige
For udviklingschefer og sikkerhedsansvarlige (CISO’er) betyder lanceringen, at en del af det arbejde, der tidligere krævede et separat værktøj som Snyk eller en manuel sikkerhedsgennemgang, nu potentielt kan flyttes ind i selve kodeeditoren. Det kan i teorien reducere antallet af værktøjer, et team skal vedligeholde, men det skaber samtidig et nyt spørgsmål: skal en organisation stole på, at den samme leverandør, der genererer koden, også er den bedste til at finde fejlene i den?
Det spørgsmål bliver ikke mindre relevant af, at Cursor endnu ikke har offentliggjort, hvilken model der driver Security Review, eller hvordan bot’en er testet mod kendte sårbarhedsdatabaser. Uden den slags gennemsigtighed er det svært for en indkøbsansvarlig at vurdere, om Security Review reelt kan erstatte et etableret produkt, eller om det bedst fungerer som et ekstra lag oven på den eksisterende sikkerhedsstak.
For driftsteams er Rollouts nemmere at placere. Det ligner en udvidelse af den observability-praksis, mange organisationer allerede har med værktøjer til logs, metrics og traces. Forskellen er, at Rollouts kobler den observability direkte til den specifikke pull request, der udløste ændringen, i stedet for at vise generelle dashboards, som en menneskelig operatør selv skal fortolke.
Historisk kontekst: fra autocomplete til autonome agenter
Det er værd at huske, hvor kort tid der er gået. For få år tilbage betød “AI i kodeeditoren” primært autocomplete: værktøjet forslog den næste linje, og udvikleren trykkede tab. GitHub Copilot populariserede den model, og Cursor byggede videre på den med sin Composer-funktion og dybere integration i selve redigeringsflowet.
Næste fase var agentisk kodning, hvor AI’en ikke bare forslog linjer, men selv kunne udføre hele opgaver: åbne filer, køre tests, rette fejl og oprette pull requests uden konstant menneskelig indblanding. Det er den fase, de fleste AI-kodeværktøjer stadig befinder sig i under et. Rollouts og Security Review markerer et skridt videre til det, man kunne kalde en driftsfase, hvor AI’en ikke stopper ved merge, men følger koden ind i produktion og ind i sikkerhedsvurderingen af, hvad den faktisk har lavet.
Den udvikling passer med et bredere mønster i branchen. GitHub Copilot har i løbet af 2026 løbende tilføjet mulighed for at blokere specifikke agent-handlinger, og GitLab har måttet lukke en kritisk sårbarhed i sin Duo-agent (se også GitLab Duo). Fælles for det hele er en forskydning fra “kan AI’en skrive koden” til “kan man stole på, hvad AI’en gør, når man ikke selv holder øje med hvert skridt”.
Sådan ser konkurrenterne ud til at reagere
Ingen af Cursors direkte konkurrenter har offentligt annonceret et modsvar til Rollouts eller Security Review i dagene efter lanceringen. Det er ikke ensbetydende med, at der ikke sker noget internt. GitHub har historisk fulgt op på store Cursor-lanceringer med egne funktioner inden for få måneder, og selskabets tempo med at rulle nye modeller som Claude Opus 5.5 samt GPT-6 Sol og Luna ud til Copilot i samme periode viser, at konkurrencen om at levere den nyeste AI-kapacitet fortsat er intens.
Det mest sandsynlige scenarie er, at konkurrenterne i første omgang forsøger at positionere deres eksisterende produkter som allerede dækkende det samme behov, snarere end at lancere direkte klonede funktioner med det samme. Snyk har for eksempel en etableret kundebase, der forventer dybere integration med CI/CD-pipelines og compliance-rapportering, end hvad en ny Cursor-bot kan tilbyde ved lancering.
Forudsigelser: hvad sker der de næste 12 måneder
- Cursor vil sandsynligvis udvide Rollouts og Security Review til flere planer end Teams og Enterprise, i takt med at bot’erne bliver mere driftssikre og prisstrukturen bliver tydeligere.
- Forvent, at Cursor på et tidspunkt offentliggør konkrete tal for, hvor mange sårbarheder Security Review har fanget, især hvis konkurrenter begynder at kræve den slags dokumentation som led i indkøb.
- GitHub Copilot og GitLab Duo vil med stor sandsynlighed positionere eksisterende eller kommende funktioner som svar på Rollouts inden for de næste to kvartaler, snarere end at lade Cursor stå alene med kategorien.
- Diskussionen om, hvorvidt samme leverandør bør både generere og sikkerhedsvurdere kode, vil sandsynligvis intensiveres, i takt med at flere virksomheder tester Security Review i praksis.
- Cursors fortsatte vækst, uanset hvilke af de rapporterede finansielle tal der holder, gør det sandsynligt, at firmaet fortsætter med at udvide fra ren kodeeditor til en bredere platform, der dækker hele udviklingscyklussen fra forslag til produktion.
Hvad betyder det for danske og nordiske udviklerteams
Danske og nordiske virksomheder, der allerede bruger Cursor eller et af de andre AI-kodeværktøjer, shattered.io følger løbende, står med et konkret valg: er man på en Teams- eller Enterprise-plan, kan man teste Rollouts og Security Review med det samme, mens Individual- og Pro-brugere må vente på en bredere udrulning. For mindre danske softwarehuse, der typisk starter på de billigere planer, betyder det i praksis, at de nye sikkerhedsfunktioner først bliver relevante, når teamet vokser til en størrelse, hvor en Teams-aftale giver mening økonomisk.
For virksomheder, der er underlagt NIS2 eller andre EU-krav om dokumenteret sikkerhedspraksis, kan en bot som Security Review blive interessant som en del af den samlede dokumentation af, hvordan sårbarheder opdages i udviklingsprocessen. Det forudsætter dog, at Cursor på sigt bliver mere åben om, hvordan bot’en faktisk fungerer, og hvilke garantier den kan give, hvilket ikke er tilfældet ved lanceringen i september 2026.
Ofte stillede spørgsmål
Hvad er Cursor Rollouts?
Rollouts er en AI-bot fra Cursor, der overvåger en kodeændring fra pull request til produktion. Den skriver en overvågningsplan, holder øje med deploymentet og rapporterer, om ændringen er sund eller har udløst en regression, opdelt pr. miljø.
Hvad er Cursor Security Review?
Security Review er en bot, der scanner hver pull request for udnyttelige sikkerhedsfejl, herunder injektion, autentificerings- og autorisationsfejl, hardkodede secrets, SSRF og usikker deserialisering, ved at spore, hvordan data bevæger sig gennem koden.
Hvilke Cursor-planer inkluderer de nye bots?
Ved lanceringen den 23. september 2026 er Rollouts og Security Review kun tilgængelige på Cursors Teams- og Enterprise-planer. Individual- og Pro-brugere har ikke adgang endnu.
Hvordan er Rollouts og Security Review forskellige fra Bugbot?
Bugbot, som Cursor lancerede i sin nuværende form i januar 2026, dækker generel kodekvalitet, logiske fejl og sikkerhed i bred forstand. Rollouts og Security Review er en specialisering af den samme grundtanke, hvor det ene fokuserer smalt på produktionsovervågning og det andet på udnyttelige sårbarheder.
Hvad kræver det at sætte Rollouts op?
En organisation skal forbinde sin versionsstyring, sit deployment-system og en telemetriudbyder med logs og metrics, før Rollouts kan aktiveres fra Cursors automations-dashboard.
Er Cursors nye bots bedre end GitHub Copilot eller Snyk?
Det kan ikke afgøres endnu. Cursor har ikke offentliggjort fangstrater, falsk-positiv-tal eller uafhængige benchmarks for Rollouts eller Security Review, og der findes i skrivende stund ingen kontrolleret sammenligning med GitHub Copilot, Snyk eller GitLab Duo på samme datasæt.
Hvad er Cursors nuværende værdisætning?
Brancherapporter har nævnt en værdisætning omkring 60 milliarder dollar i forbindelse med en rapporteret SpaceX-relateret transaktion i august 2026, samt en årlig omsætning over 4 milliarder dollar. Cursor har ikke selv bekræftet de præcise tal, så de bør læses som estimater snarere end officielle regnskaber.
Hvornår blev Rollouts og Security Review lanceret?
Begge bots blev annonceret den 23. september 2026 i Cursors eget changelog under titlen “Rollouts and Security Review”.
