セキュリティ

Grok Bot を組織に入れてよいか、Bot が何にアクセスし、何を変え、何を残すのか。それを決めるための仕組みをまとめたページです。管理画面の多くの項目は Enterprise 限定です。導入手順はチームと企業へ。

全体像

アプリからのリクエストは Cursor のサーバーに届き、作業はメンバーのクラウドコンピューターで、推論はモデル提供元で、外部サービスへの操作は接続したアプリ経由で行われます。それぞれの経路に制御があります。

ネットワーク制御（Enterprise）

Grok Bot Network Access で通信先を制限します。

Allow All Network Access：すべて許可（方針がないチームの既定）
Defaults + Team Allowlist：Cursor の既定の通信先 + 自社の許可リスト
Team Allowlist Only：自社の許可リスト + 動作に必要な最小限

ドメインや IP 範囲で指定でき、変更は動いているコンピューターに約 1 分で反映されます。

アプリをブロックしても、そのサービスの Web サイトはブロックされません。 両方を塞ぐにはコネクタ方針とネットワーク方針の両方が必要です
リモートの MCP サーバーは Cursor のサーバーから接続するため、Apply to MCP servers をオンにしないと許可リストの対象になりません。オンにする前に、GitHub なら api.github.com、X なら api.x.com など、組み込みコネクタの通信先を追加しておきます

送信元 IP

クラウドコンピューターは、Grok Bot の利用者全体で共有する固定の送信元 IP を使います。顧客専用の IP はないので、「Grok Bot からの通信」を見分ける目印として扱います。

承認と Auto Review

承認

重要な操作の前に、操作内容と入力が表示されます。

Allow once：今回だけ許可
Always allow：同じ操作を今後も許可するルールを保存
Deny：止める。次にメッセージを送るまで再試行しません

承認するのは「これから行う操作」です。対象や影響がわからない操作は承認しないこと。

Auto Review

独立した審査モデルが、シェルコマンド、アプリの呼び出し、画面操作、ルーティン、委任といった危険になり得る操作を、実行前に「進める・承認を求める・拒否する」に振り分けます。

個人のルールは 設定 → General → Auto-review の Custom Rules で追加
- Ask first：必ず止まる
- Allow automatically：他に止める理由がなければ進める
衝突したら Ask first が優先。ルールは狭く、具体的に
記憶の書き込みや多くの設定変更は審査対象外です。承認、ネットワーク方針、ユーザー分離と組み合わせて使います

ID とサインイン

メンバーは Cursor アカウントでサインインし、SAML SSO（Okta、Entra、Google Workspace、OneLogin）が使えます
Bot はサインインしているメンバー本人として動き、本人以上の権限は持ちません
アプリの OAuth トークンは Cursor 側に保管され、Bot にもコンピューターにも渡りません

認証情報はモデルに渡らない

ログインは Vault、パスワードマネージャー、Secure Form から参照で入力され、モデルはパスワードやカード番号を受け取りません
SSO やパスキーは、Bot がメンバーにコンピューターを渡して本人が操作します
API キーは値を隠すシークレット入力カードで受け渡します
Vault に保存したカードは支払いのたびの承認なしで使われます。毎回承認したいなら保存しないこと

アクセスを終わらせる

コンピューターの停止ではアクセスは消えません。メンバーをチームから外すかグループで無効にし、ID プロバイダーでセッションを取り消します。メンバー自身は、ルーティンの停止、サイトからのサインアウト、アプリ接続の解除、/workspace の機密ファイル削除で後片付けします。

ログ（Enterprise）

Audit logs：管理・セキュリティ・認証のイベントと、Bot 作成や共有変更などの操作
Action Recording：Bot の操作の記録（既定でオフ、90 日保持）。シェルコマンドは秘密情報を除去し、画面や入力内容は記録しません
OpenTelemetry Export：自社の収集基盤に送る

データ

コンピューターのファイルとブラウザのセッションは、永続ディスクに残ります（トークンは保存されません）
使われていないコンピューターは自動で休止しますが、削除ではありません
契約終了後、書面での指示から 30 日以内にデータを削除または返却
コンピューターは米国で動いており、米国内でのデータ保持プログラムがあります

モデル

モデルは選べません。 タスクごとに SpaceXSI の自社モデルか、委託先一覧にある他社のモデルが使われ、組み合わせは変わることがあります
チームのモデル許可リストは Grok Bot には適用されません
Privacy Mode がオンなら、顧客データは学習に使われません

手元 PC での実行

デスクトップアプリ経由で、Bot が手元の PC でコマンドを実行したりファイルを移したりできます。既定はコマンドごとに承認で、設定 → Computer → Your computer で「毎回確認 / 常に許可 / 許可しない」を選べます。特別な理由がなければ「許可しない」が推奨です。

提供形態

Cursor のクラウドでのみ動きます。オンプレミスや自社環境、独自イメージでの運用はできません。

プロンプトインジェクション

Web ページやアプリの結果、コマンドの出力に、Bot を操ろうとする文章が含まれることがあります。対策は重ねがけです。

Auto Review が、操作をメンバーの依頼と照らして確認する
ネットワーク方針、操作ごとの承認、ユーザー分離は、モデルの判断に依存しない
外部の内容は「信頼できないデータ」として印をつけてモデルに渡す
Inference Hooks で事前にふるい分けできる

それでもリスクはゼロにならないので、結果の重い操作は承認の後ろに置くのが基本です。

認証

Cursor の親会社 Anysphere は ISO/IEC 27001 と ISO/IEC 42001 を取得しており、Grok Bot も対象範囲に含まれます。

全体像