Cursor Agent SDK: první PR reviewer krok za krokem
Cursor Agent SDK ti dovolí postavit PR reviewera jako projekt v gitu. Návod: šablona, instrukce, replay pull requestu, evaly a nasazení.
Obsah článku 9 sekcí
V kostce
- Cursor Agent SDK vyšlo 20. října 2026; agent je složka s instructions.md, tools, skills a channels, kterou lze testovat a verzovat.
- PR reviewer vznikne příkazem init se šablonou security-reviewer a seznamem repozitářů, který se zapíše do bot/lib/repos.ts.
- Příkaz agent-sdk github replay přehraje skutečný pull request, agent-sdk eval běží bez zápisu na GitHub.
- Dokumentace neuvádí cenu provozu agenta, spotřebu si před nasazením ověř ve svém tarifu.
Code review je v týmech úzké hrdlo: AI píše kód rychleji, než ho lidé stíhají číst. Cursor 20. října 2026 vydal Agent SDK a s ním šablony, ze kterých si za odpoledne postavíš vlastního PR reviewera. Tenhle návod ukazuje, jak Cursor Agent SDK použít na první review bota, který žije v gitu jako obyčejný projekt, ne jako klikací nastavení v cizí aplikaci.
Všechno níže vychází z oficiální dokumentace a changelogu Cursoru (odkazy jsou v textu). Bota jsem sám v produkci nenasazoval, takže u každého kroku uvádím, co říká dokumentace, a ne, jak dlouho to trvalo mně.
Co je Cursor Agent SDK a proč ho zkusit
Podle changelogu z 20. října 2026 je Agent SDK určený pro agenty definované jako složka souborů. Prompt píšeš do instructions.md, každý soubor v tools/ je jedna typovaná akce, kterou model může zavolat, skills/ drží postupy načítané podle potřeby, mcp-connections/ přidává nástroje z MCP serverů a channels/ určuje, odkud zprávy přicházejí a kam odcházejí.
Praktický rozdíl proti běžným review aplikacím:
- Pravidla jsou v repozitáři. Změnu toho, co bot považuje za chybu, uděláš pull requestem a uvidí ji celý tým.
- Dá se testovat. Příkaz
agent-sdk evalpouští testovací případy lokálně nebo v CI. - Můžeš ho provozovat u sebe. Nasazení běží buď na infrastruktuře Cursoru, nebo na tvé vlastní.
Pokud hledáš hotové hlídače bez programování, podívej se na srovnání Greptile, CodeRabbit a BugBot. Agent SDK dává smysl tam, kde chceš mít review pod kontrolou jako kód.
Pro koho týmy, které už používají Cursor a GitHub a chtějí review přizpůsobit svým pravidlům.
Jaké šablony SDK nabízí
Dokumentace k review šablonám uvádí tyto hotové startovní body:
Šablona (--template) |
Co dělá | Kanál |
|---|---|---|
security-reviewer |
jeden komentář k zneužitelným chybám | GitHub |
thermo-review |
chyby, rozbité vedlejší efekty, nechtěně vystavené funkce | GitHub |
thermo-quality-review |
struktura: chybějící abstrakce, hluboké zanoření, soubory přes 1 000 řádků | GitHub |
triage (triage-linear, triage-jira) |
komentář Triage:, priorita chyby, odkaz na duplicitu |
Linear nebo Jira |
Changelog navíc zmiňuje šablonu pro schvalování podle pravidel vlastnictví a PR autofixer. Žádná z review šablon nekomentuje styl psaní kódu a kvalitativní šablona se nehádá o chování. Pro první bota je rozumné vzít jednu věc, ne všechno najednou.
Příprava: co musíš mít hotové
Než cokoli spustíš, podle dokumentace potřebuješ:
- GitHub propojený v Cursoru pro repozitáře, které chceš hlídat (v nastavení nebo na cursor.com/dashboard).
- Node.js a terminál, kde poběží
npx. - Repozitáře ve stejném vlastnictví: u jednoho scaffoldu nebo nasazení musí všechny patřit jednomu vlastníkovi (organizaci nebo účtu).
Pozor pokud máš repozitáře pod více organizacemi, budeš potřebovat víc nasazení, jedno na vlastníka.
Krok po kroku: první PR reviewer
Vytvoř projekt ze šablony
npx @cursor/agent-sdk init ./security-reviewer \
--template security-reviewer \
--var repos=acme/api
Parametr --var repos platí jen pro šablonu security-reviewer, bere seznam repozitářů oddělený čárkami a init ho zapíše do souboru bot/lib/repos.ts. Název složky a id šablony si zaměň podle toho, co stavíš.
Přihlas se a spusť lokální vývoj
agent-sdk login
agent-sdk dev --cursor-events --repo acme/api
agent-sdk dev spustí bota lokálně s playgroundem, kde vidíš konverzaci a volání nástrojů. Události z GitHubu jdou přes tvůj účet v Cursoru, takže nepotřebuješ veřejnou webhook adresu.
Řekni botovi, co je chyba
Nejdůležitější soubor je bot/instructions.md. U review šablon v něm definuješ, co se počítá jako nález. Tady se rozhoduje o kvalitě celého bota. Doporučení z praxe code review obecně:
- vyjmenuj kategorie, které chceš (injekce, chybějící kontrola oprávnění, úniky tajemství),
- výslovně napiš, co nechceš (připomínky ke stylu, přejmenování, drobnosti),
- požaduj u každého nálezu konkrétní řádek a stručné vysvětlení, jak by se chyba dala zneužít.
Čím konkrétnější pravidla, tím méně falešných poplachů. Kdo už má postavenou AI code review pipeline, může stejnou logiku přenést do instrukcí.
Přehraj skutečný pull request
agent-sdk github replay https://github.com/acme/api/pull/12 --dir .
Replay vezme existující PR a podle dokumentace z něj udělá podepsané webhook události, které pošle botovi. Přeskakuje koncepty (drafty), zapíše diff do pr/diff.patch a spustí tah. Model zavolá akci post_findings jednou a právě ta vytvoří komentář na GitHubu. Odpovědi v chatu zůstávají jen v playgroundu.
Tip: pro první pokusy vybírej PR, kde už znáš správnou odpověď, například starý pull request s opravenou bezpečnostní chybou. Hned uvidíš, jestli ji bot najde.
Ulož si přehrávky jako testy
S přepínači --dry-run --fixtures-dir fixtures/ se přehrané události uloží jako fixtures místo odeslání. Z nich pak postavíš testy v souboru evals/review.eval.ts:
agent-sdk eval
Testovací sessions podle dokumentace nezapisují na GitHub ani do trackerů, takže je můžeš pouštět bez obav. Postupně sbírej případy dvou druhů: PR, kde bot musí něco najít, a PR, kde musí mlčet. Druhý druh chrání před tím, aby tým bota po týdnu ztlumil.
Nasaď
agent-sdk login
agent-sdk deploy --cursor-events-repo acme/api
Přepínač --cursor-events-repo opakuj pro každý repozitář. Seznam hlídaných repozitářů pak jde měnit bez nového nasazení:
agent-sdk deployment update my-agent --event-repo acme/api --event-repo acme/web
Podle changelogu agent-sdk deploy agenta sestaví, přidělí mu adresu a spustí na infrastruktuře Cursoru. Samostatně běžící Node proces na vlastním serveru je také možný, ale není to hlavní cesta v oficiální dokumentaci, tak si to ověř, než na to postavíš provoz.
Ukázka: jak mohou instrukce vypadat
Toto je můj návrh struktury, ne text z dokumentace. Vlož ho do bot/instructions.md a uprav podle svého projektu:
Jsi bezpečnostní recenzent pull requestů. Čteš jen diff.
Hlásíš pouze:
- SQL injection a jiné injekce z neověřeného vstupu
- chybějící kontrolu oprávnění u nových endpointů
- tajemství (klíče, tokeny) přidaná do kódu
Nehlásíš: styl, pojmenování, chybějící testy, optimalizace.
U každého nálezu uveď soubor, řádek, krátký scénář zneužití
a navrhovanou opravu. Pokud nic nenajdeš, napiš to jednou větou.
Tahle krátká verze má dvě výhody. Bot má jasně vymezený rozsah, takže nezahlcuje PR poznámkami, a v evalech snadno ověříš, že u čistého pull requestu opravdu mlčí. Až budeš chtít další kategorie, přidávej je po jedné a po každé změně pusť agent-sdk eval.
Co zkontrolovat před prvním ostrým PR
- repozitář je v seznamu
bot/lib/repos.tsa v--cursor-events-repo, - GitHub je v Cursoru propojený a bot má pull přístup,
- replay na starém PR vrátil očekávaný nález a na čistém PR nic,
- tým ví, že bot existuje a kde najde jeho pravidla.
Jak z bota udělat něco, co tým nevypne
Technicky to funguje rychle, tým ale rozhodne chování. Tři pravidla, která stojí za zavedení od začátku:
- Jeden komentář na PR. Šablony jsou postavené na jediném souhrnném komentáři. Neměň to na desítky drobných poznámek.
- Bot doplňuje člověka, nenahrazuje ho. Nález je tip k ověření. Rozhodnutí o sloučení zůstává na lidech, podobně jako u stacked PR, kde je cílem zrychlit lidské čtení, ne ho vynechat.
- Měř falešné poplachy. Po dvou týdnech projdi, kolik nálezů tým opravil a kolik ignoroval. Podle toho upravuj
instructions.mda doplň eval případy.
Pokud ve vývoji řídíš více agentů najednou, hodí se i okno agentů v Cursoru 3, které ukazuje druhou stranu mince: agenty, které kód píšou.
Na co si dát pozor
- Ceny. Changelog ani dokumentace review šablon neuvádějí cenu za provoz agenta. Před nasazením si ověř, jak se spotřeba účtuje ve tvém tarifu (přehled tarifů Cursoru může být zastaralý).
- Jeden vlastník na nasazení. Mix repozitářů z různých organizací nepůjde v jednom scaffoldu.
- Nové věci se mění. SDK vyšlo teprve 20. října 2026, takže názvy příkazů a přepínačů si před použitím porovnej s aktuální dokumentací.
- Citlivý kód. Diff pošleš modelu v cloudu. U kódu s regulatorními požadavky to nejdřív probrat s bezpečností.
Časté otázky
Co je Cursor Agent SDK?
Sada nástrojů a příkazová řádka agent-sdk, kterou definuješ agenta jako projekt: instrukce, nástroje, dovednosti, MCP připojení a kanály. Vyšlo 20. října 2026 a umí agenta otestovat evaly a nasadit ho na infrastrukturu Cursoru.
Jak vytvořím PR reviewera?
Spusť npx @cursor/agent-sdk init ./security-reviewer --template security-reviewer --var repos=vlastnik/repozitar, uprav bot/instructions.md, vyzkoušej agent-sdk github replay na starém pull requestu a nasaď přes agent-sdk deploy.
Potřebuju veřejnou webhook adresu pro GitHub?
Podle changelogu ne. Události z GitHubu se směrují přes tvůj účet v Cursoru, takže adresu vystavovat nemusíš.
Dá se reviewer otestovat bez zápisu na GitHub?
Ano. Příkaz agent-sdk eval a testovací sessions na GitHub nezapisují. Replay skutečného PR naopak vytvoří komentář, proto ho zkoušej na repozitáři, kde ti to nevadí.
Komentuje bot i styl kódu?
Ne. Žádná z review šablon nekomentuje styl a kvalitativní šablona neřeší chování. Pro každou oblast je zvláštní šablona.
Shrnutí a další krok
Agent SDK dělá z review bota projekt v gitu, který můžeš testovat a verzovat. Začni jednou šablonou, napiš přesné instructions.md, přehraj pár starých pull requestů a teprve potom nasazuj. Pokud tě zajímá, jak review zapadá do širšího nastavení týmu, pokračuj na pravidla pro týmy s AI kódováním.
Zdroje: Cursor changelog – Agent SDK, 20. 10. 2026, dokumentace review šablon.
