团队与企业

Grok Bot 安全

通过这些控制措施和部署细节，判断是否允许引入 Grok Bot，并限制 Bot 可访问、修改和保留的内容。推广步骤和控制台设置列表见面向团队和企业的 Grok Bot。常见的审查问题请参阅 Grok Bot 安全常见问题。

仅限 Enterprise 的 Grok Bot 仪表盘设置包括组织级启用开关、Network Controls、Team Setup Scripts、Team Secrets、Action Recording、Allow Local Egress Routing、Allow Sudo on Bot Computers、Enforce Auto-review 及其团队规则、Inference Hooks，以及组织管理员使用的电脑管理功能。审计日志、OpenTelemetry Export、MCP 白名单和 SCIM 也仅适用于 Enterprise。自助开通的 Teams 团队看不到这些设置。完整列表见管理员控制。

架构

Grok Bot 桌面和移动应用将每个请求发送至 Cursor 的服务器。随后，工作在成员的托管电脑上运行，提示词发送给模型提供商，工具调用则通过已连接的应用到达第三方服务。

每条路径都配有相应的控制措施，可通过各自的链接跳转至本页对应章节。

网络策略

Network Controls 仅适用于 Enterprise。管理员可以在 Network 中设置 Grok Bot 网络策略，入口位于 Grok Bot 页面（Cursor 仪表盘）的 Grok Bot Network Access 区域。它控制团队电脑可访问的目标地址。自助开通的 Teams 团队看不到该面板，也无法设置目标地址白名单。未设置策略的团队默认允许所有目标地址。

• 目标地址可以是网站域名，也可以是原始连接使用的 IP 范围及端口。条目数量没有上限。
• 目录群组。此功能位于 Network Controls 中，仅适用于 Enterprise。群组可设置自己的网络策略，对其成员取代团队策略。锁定后，团队策略适用于所有人。
• 此策略独立于 Cloud Agent 的网络设置。运行中的电脑会在约一分钟内自动应用变更，休眠中的电脑会在下次唤醒时应用。无需重建电脑。
• 限制出口流量可以约束数据的发送目的地。要根据组织自己的数据防泄漏策略检查发送至模型的内容，可使用推理钩子。

禁用某个应用后，Bot 仍可能访问该服务的网站。连接器策略和网络策略分属两层控制；若要封锁这两条访问路径，须同时配置二者。

MCP 服务器与网络策略

网络策略限定团队电脑可向哪些目标发送流量。Bot 则从 Cursor 服务器访问已连接应用的远程 MCP 服务器，单独启用白名单模式无法约束这种连接。如需将同一白名单应用于远程 MCP 服务器，请开启 Apply to MCP servers。该开关位于 Allowed destinations（旧版设置页中为 Allowed Destinations）下方、Lock for all groups（旧版为 Lock for All Groups）上方，所在区域为 Grok Bot Network Access。仅在选择 Default, plus the allowlist（旧版为 Defaults + Team Allowlist）或 Allowlist only（旧版为 Team Allowlist Only）时才会显示此开关。

• 关闭（所有团队的默认设置）。无论网络策略如何设置，Bot 都能连接到连接器策略允许的任意 MCP 服务器。
• 开启。远程 MCP 服务器还必须匹配 Allowed destinations 中的条目。如果不匹配，Bot 下次使用时会被拒绝，成员会看到需要请管理员添加哪个目标。在电脑上运行的命令型服务器不受该开关影响，因为电脑的网络策略已适用于它们。

需要管控 MCP 服务器时，请先开启此开关。仅选择白名单模式不足以限制远程 MCP。此开关属于团队设置，目录群组会继承它且无法将其关闭，锁定的团队策略也包含它。保存时不会重启电脑，而是从下一次 MCP 连接开始生效。此开关与 MCP Configuration 中的设置相互独立；后者位于 Team Settings 中，作用于 Cursor 编辑器。更改其中一项不会改动另一项。

内置连接器也会接受检查。此开关覆盖 Bot 使用的所有已连接应用，包括 Cursor 在 Connect apps 下运营的 GitHub、X、Origin、Google Workspace、Microsoft 365 等应用。系统检查应用实际发送请求的主机，而非连接器列表中的名称。因此，请先将这些主机加入 Allowed destinations，再开启开关。如果连接器需要的主机未全部获准，Bot 下次使用它时会被拒绝，并显示以下消息：MCP server "<host>" refused: it is not on your team's Grok Bot network allowlist (Grok Bot settings > Network > Allowed destinations). A team admin can add it.

对于 Team Marketplace 中的其他连接器，系统检查其服务器地址中的主机。该地址显示在仪表盘的 Plugins & MCPs 页面，请允许其中的主机。

静态出口 IP

默认情况下，托管电脑使用共享的静态出口 IP 地址访问互联网。Grok Bot 客户共用这些地址段，没有按客户独享的 IP，因此这些范围只能识别来自 Grok Bot 的流量，不能单独识别你的团队。可向客户团队索取最新地址范围。产品提供目标地址白名单，不提供源 IP 编辑器。

如果成员设备位于 Zscaler 或其他执行 TLS 检查的网关后方，请在所有配置文件中（包括离开企业网络时使用的配置文件）放行 Cursor 域名并将其排除在检查之外。参见配置 TLS 检查代理。

成员可以通过自己的桌面设备转发流量，以使用该设备的 IP 地址。通过此路径访问解析为私有或 VPN 地址的站点时，除非组织已明确放行，否则仍会被阻止。Team Setup Scripts 仅限 Enterprise。Enterprise 团队还可以在团队所有电脑上安装自己的网络客户端。这两种方式均独立于共享出口地址段。参见连接私有网络。

审批与自动审查

审批让成员能够控制影响重大的操作。最有力的边界来自请求本身，因此请让成员明确 Bot 可以修改什么，以及必须在哪里停止：

核对广告活动数据，并起草预算调整建议。不要修改广告活动，也不要给代理商发消息。展示当前值、建议值和预期影响后，再请求批准。

操作需要审批时，对话会显示拟执行操作及其输入。Allow once（允许一次）让 Bot 继续执行该操作，Always allow（始终允许）可以保存匹配规则，而Deny（拒绝） 会停止该操作；在成员再次发送消息前，Bot 不会重试。iPhone 使用相同的控件。审批仅管控拟执行的操作，已完成的工作不会被撤销。无法确认操作目标或影响时，请勿批准。

Auto Review 是这些提示背后的审核机制。独立的审核模型会在 Bot 执行高风险操作之前评估 Shell 命令、应用调用、电脑操作、自动化配置写入（更改例行任务及事件触发器），以及启动 Cloud Agent 或子 Agent 等委派操作。它可以允许执行、要求批准或拒绝操作。

• 团队管理员可以强制启用 Auto-review。仅限 Enterprise。开关位于 Cursor 仪表盘中的 Grok Bot 页面。开启后，除非成员所在的群组通过 Don't enforce for this group 解除锁定，否则成员无法关闭 Auto-review。参见群组设置。
• 管理员可以添加团队 Auto-review 规则。仅限 Enterprise。这些规则同样位于 Grok Bot 页面，适用于所有成员的 Bot，在成员设置表中显示为锁定项。管理员添加、编辑或删除规则时，系统会自动保存。如果管理员关闭强制审核，团队规则便不再生效，成员将恢复为仅使用个人规则。
• 成员可以添加个人规则。前往 Settings → General → Auto-review，打开 Custom Rules。Ask first 规则始终会暂停匹配的操作。Allow automatically 规则仅在审核模型未发现其他暂停理由时放行匹配操作。成员可在团队规则的基础上添加个人规则，但只能增加限制；发生冲突时，以 Ask first 为准。规则应针对具体操作、限定范围，例如“向外部发送邮件前先询问”或“运行 git status，目录为 /workspace/reports 时自动允许”。避免“允许浏览器中的一切操作”之类过宽的规则。个人规则保存到成员账号，在各台桌面设备和移动应用中均生效。
• Auto Review 不会审查每一种副作用。例如，写入记忆和大部分设置变更不会经过审核。它可补充明确的操作边界和最小权限原则，并与不依赖模型判断的逐项审批、网络策略和用户隔离等控制并用。

推理钩子

推理钩子会将每个 Grok Bot 模型请求签名并发送到组织自建或通过安全供应商使用的 AI 安全服务器。服务器会在模型运行前允许或拒绝请求，因此组织可用自己的策略检查提示词及 Grok Bot 收集到的网页、应用结果等内容。新配置默认使用 Shadow 模式，只将拒绝结果记入审计日志，不会实际拦截请求。

推理钩子检查模型输入，无法在操作执行时检查该操作。请继续使用网络策略和 Auto Review 管控 Bot 的行为。设置方法、运行模式、请求格式和审计事件见 Grok Bot 推理钩子。

推理钩子目前处于测试阶段，适用于所有 Enterprise 团队。

身份与登录

成员使用 Cursor 账号登录 Grok Bot，因此现有 Cursor SSO 配置继续生效。SAML 2.0 单点登录支持 Okta、Microsoft Entra、Google Workspace 和 OneLogin。可要求所有成员使用 SSO（会禁用密码登录）。SCIM 仅适用于 Enterprise：支持通过 SCIM 2.0 预配和撤销用户。有关 Okta 和 Entra ID 的分步配置，包括应用分配和电脑浏览器的登录规则，请参见配置身份与访问。

在托管计算机内，成员通过浏览器中的您自己的身份提供商登录应用，类似于登记一台新笔记本电脑。这些会话受您的会话策略约束，在身份提供商中撤销用户会终止这些会话。

Bot 没有自己的身份或凭据：

• Bot 以已登录成员的身份操作。Bot 的权限不会超过其所属成员，每项操作都可归因于具体成员，无需在身份提供方之外另行配置、轮换或审计机器身份。团队管理的连接器是例外，它们可使用团队或服务账号的凭据。
• 连接器 token 保存在 Cursor 后端。Bot 调用工具时不会收到 OAuth token，电脑上也不会存储这些 token。
• 模型无法获取凭据值。登录时，Bot 可使用成员保存在 Vault 中的登录信息、已连接的密码管理器或成员在安全表单中输入的值。这些值通过引用直接填入网页：模型不会收到已保存的密码、卡号、安全码或成员在安全表单中输入的内容。Bot 能看到已保存的登录条目及联系信息。遇到单点登录、通行密钥或表单无法处理的其他步骤时，Bot 会将电脑交给成员。对于 API 密钥等凭据，安全凭据卡会遮蔽输入值，不写入聊天记录，也不发送给模型。Vault 中已保存的银行卡会在结账时直接填入，无需逐笔批准。如希望手动批准每笔付款，请勿保存卡片。共享 Bot 无法使用 Vault。切勿在普通聊天中输入密码或一次性验证码。参见安全保存凭据。

如需结束成员当前的工作，组织管理员可以在仪表盘终止该成员的电脑，参见管理 Grok Bot 电脑。此功能仅适用于 Enterprise。它会停止运行中的 Bot，保留持久磁盘，成员下次建立会话时会启动新电脑；成员的访问权限仍然保留。如需撤销权限，将其移出团队或为其群组关闭 Grok Bot，并在身份提供方中撤销其会话。应用的登录会话仅保留在成员的电脑上。

如果某个项目或登录信息不应再被使用，请成员直接清理：暂停或删除相关例行任务，退出电脑上的网站账号，移除已连接的应用并在源服务中撤销授权，同时从以下目录删除敏感文件：/workspace。删除 Bot 不会移除计算机文件或浏览器会话。

日志与审计

Audit Logs 和 Action Recording 使用不同的处理管线。Audit Logs 涵盖管理和安全事件，包括 Grok Bot 控制平面操作。Action Recording 记录 Bot 操作；配置 OpenTelemetry Export 后，这些事件会发送到你的收集器，标签为 cursor.surface=grok_bot。

• 审计日志。仅限 Enterprise。覆盖管理、安全和身份验证事件，以及 Grok Bot 控制平面事件，包括 Bot 创建、成员访问权限变更、Team Setup 清单、MCP 身份验证、Slack 账号关联和例行任务。可在仪表盘按应用筛选，或流式发送到 SIEM。自助开通的 Teams 团队无法使用此日志。
• Action Recording。仅限 Enterprise。此项设置位于 Grok Bot 页面，默认关闭。团队开启后，Cursor 会在内部存储中记录 Bot 操作（包括经脱敏的 Shell 命令），保留 90 天。这些事件不会出现在 Audit Log 页面。若要在自己的采集器中接收脱敏事件，请配置 OpenTelemetry 导出，此功能也仅限 Enterprise。隐私模式（旧版）会强制关闭记录。

端点工具

Grok Bot 不提供面向客户的内置遥测或 EDR 数据流。电脑是由 Cursor 运营的基础设施，Cursor 会监控其运行健康状况并检测滥用。相关遥测明确排除客户数据。Team Setup Scripts 仅适用于 Enterprise，管理员可在团队所有电脑上安装自己的工具。

数据保留与删除

每位成员的计算机通过持久磁盘，在会话间保留本地文件、浏览器会话及浏览器中保存的内容。连接器令牌绝不会存储在计算机上。

• 闲置电脑会自动休眠。休眠不会删除电脑。
• 镜像更新会保留文件。使用旧系统镜像的电脑会基于新镜像重建，成员文件会保留。
• 成员重置电脑会保留已保存的数据。成员可从桌面应用重置自己的电脑。与 Recover 相同，Reset 会基于上次保存的数据重建电脑。如果无法连接电脑以保存最新数据，最近的更改可能丢失。参见Grok Bot 电脑。
• 按 DPA 删除数据。根据数据处理协议，服务结束后，会在收到书面指示的 30 天内删除或返还数据。
• 每日备份。Cursor 的生产控制平面每天进行加密备份，并将备份复制到独立的恢复设施。

客户无法自行将单台电脑恢复到指定时间点。

数据驻留

Grok Bot 电脑在美国运行，也属于 Cursor 仅限美国的数据驻留计划。启用后，Grok Bot 的推理、数据处理和存储均保留在美国境内。请联系客户团队申请加入。有关支持的模型、排除项和定价，请参阅美国数据驻留的说明。

模型与数据

Grok Bot 自行选择模型，未向客户提供模型选择器。提供服务的模型组合可能随时间变化，不保证固定的供应商名单。每个请求会发送给 SpaceXSI 第一方模型，或由以下列表中的提供商供应的第三方模型：次级处理方名单。用量与支出页面将这些活动计入 Grok Bot 用量，不按模型拆分。参见Grok Bot 使用哪些 AI 模型？。

• 团队的模型白名单不约束 Grok Bot。Grok Bot 使用 SpaceXSI 第一方模型，也可能使用第三方模型，无论你如何配置模型访问控制。已设置模型白名单的团队会在启用 Grok Bot 时看到这项确认说明。如果合同限制次级处理方，请联系你的客户团队。
• Privacy Mode 生效。成员属于团队期间遵循团队的隐私模式设置。启用 Privacy Mode 后，客户数据不会用于训练。
• 零数据保留遵循 Cursor 与提供商的现有协议。模型提供商不会保留提示词或输出，Grok Bot 没有额外的独立控制。提供商可能运行滥用检测和安全分类器，被标记的数据可能会为调查而存储。

本地执行

Bot 可以通过桌面应用在成员自己的计算机上操作：运行命令、读取文件，以及在云计算机和本地计算机之间移动文件。这与托管计算机中的工作独立，并有单独的控制，也不同于管理托管计算机内工作的自动审查。

默认逐条命令审批，审批卡片会显示确切命令。成员可通过以下位置选择策略：Settings → Computer → Your computer，打开 Execution on this computer（Execution on Local Computer，未列出该桌面设备时显示此名称），可选项为 Ask every time、Always allow（始终允许） 或 Never allow。建议使用 Never allow，除非 Bot 确实需要使用本地文件。管理员可以通过 Execution on Local Computer 为整个团队设定权限上限，入口位于 Grok Bot 页面；如果成员的个人设置更严格，则仍以个人设置为准。

托管

Grok Bot 仅在 Cursor 托管的云端电脑上运行。目前不支持本地部署、部署在你自己的网络边界内，或使用自带镜像部署。托管电脑默认使用共享静态出站地址。成员可以通过自己的桌面电脑路由流量，Enterprise 团队可以使用以下功能安装网络客户端：Team Setup Scripts。参见连接私有网络。

提示注入

Bot 从外界读取的网页、应用结果、命令输出等内容可能试图诱导其行为。Grok Bot 采用多层防护：强制审核开启时，Auto Review 会根据成员请求检查 Bot 操作；另有不依赖模型判断的网络策略、逐项审批和用户隔离。外部内容呈现给模型时会被标记为不可信数据。通过推理钩子，你自己的安全服务器也能在下一次模型调用前检查这些内容。这些措施可以降低但不能消除恶意内容带来的风险，因此重要操作仍应经过审批。

认证

Cursor 背后的公司 Anysphere 持有 Schellman 颁发的 ISO/IEC 27001 和 ISO/IEC 42001 认证，Grok Bot 已纳入当前 ISO 认证范围。ISO/IEC 27001 认证的是信息安全管理体系，即整个组织的安全计划。ISO/IEC 42001 认证的是 AI 管理体系，即 Cursor 如何治理其构建和运营的 AI。证书和报告见 trust.cursor.com。

相关页面

• Grok Bot 安全常见问题
• 面向团队和企业的 Grok Bot
• Grok Bot 推理钩子
• 配置身份与访问
• 连接私有网络
• 配置 TLS 检查代理
• 隐私与数据治理

有关出口 IP 范围、数据驻留承诺和安全审查支持，请联系您的 Cursor 客户团队。