以下是安全評審中最常被問到的問題。每個答案背後的控制措施詳見 Grok Bot 安全。儀表盤設置與推行步驟詳見面向 Teams 和企業版的 Grok Bot。
隔離與訪問¶
用戶之間是如何隔離的？¶
每位用戶都會獲得一臺專屬的 Firecracker microVM，擁有獨立的內核、
內存和虛擬設備。用戶之間無法訪問彼此的
電腦。而在同一位用戶下，所有 Bot 共享同一臺電腦。因此請將該電腦上的登錄狀態
和文件視爲該用戶運行的所有 Bot 均可訪問。如果某個工作負載需要獨立的電腦和憑據，
請爲其單獨分配一個
Cursor 用戶。
Bot 可以訪問哪些內容？¶
僅限成員或團隊授權的賬戶和插件。Bot 沒有
自身的身份標識，其訪問權限不會超出已登錄
成員的範圍。連接器 token 始終保存在 Cursor 後端。登錄、雙因素身份驗證
和付款步驟均由成員本人完成。參見
身份與登錄。
如果屏蔽了某個插件，Bot 還能在瀏覽器中訪問該服務嗎？¶
可以。屏蔽插件並不會屏蔽該服務的網站。連接器策略與
網絡策略
屬於相互獨立的兩層。要封堵網站這條路徑，需要使用 Network Controls，
該功能僅限企業版。
管理員可以向成員推送連接器嗎？¶
不可以。連接器策略只能允許或屏蔽服務器。目前不支持向成員
預配連接器，無論是強制啓用還是默認開啓。
網絡與出口¶
可以限制電腦能訪問哪些目標嗎？¶
Network Controls 僅限企業版。 管理員可在儀表盤 Grok Bot 頁面的該面板中設置
Grok Bot 網絡策略。自助方案的 Teams 不會看到它，也無法設置導出目標允許列表。
未設置策略的團隊默認允許訪問全部目標。參見
網絡策略。
管理控制是按羣組生效，還是僅在組織範圍生效？¶
目錄羣組範圍屬於 Network Controls 的一部分，僅限企業版。
羣組可設置自己的策略，鎖定後團隊策略將對所有人生效。
組織範圍的啓用開關同樣僅限企業版，作用於整個組織。Cloud Agents、Team
Rules 以及公開模板共享在 Teams 和企業版中均對整個團隊生效。
爲什麼某些網站會屏蔽機器人？¶
某些服務會標記數據中心 IP 地址。出口地址段爲共享靜態地址段，可向您的賬戶團隊獲取；
如有需要，請在您自己的服務中將其加入允許列表。
是否提供專用出口 IP？¶
不提供。電腦使用共享靜態出口 IP 地址，不提供按客戶專用的 IP。
當前地址段可向您的賬戶團隊獲取。
流量可以經過我們自己的網絡嗎？¶
Cursor 不爲 Grok Bot 提供接入您網絡的 VPN、隧道或專線。
受支持的方式有兩種：配合導出目標允許列表使用共享靜態出口 IP 地址；以及通過
Team Setup 安裝您自己的網絡客戶端，該功能僅限企業版。參見
連接到私有網絡。
從我們的網絡訪問時，Grok Bot 卡在計算機設置階段，爲什麼？¶
這是因爲 Zscaler 等執行 TLS 檢查的網關放行了 api2.cursor.sh，
卻屏蔽或檢查了電腦的嵌套 cursorvm.com 主機名。聊天可能仍然可用，也可能不可用；
但無論如何電腦連接都會失敗。請允許 *.cursorvm.com 和 *.*.cursorvm.com，
將它們排除在檢查之外，並將該變更同樣應用到離網配置文件。參見
配置 TLS 檢查代理。
批准、日誌與數據¶
自動評審會檢查哪些內容？¶
開啓強制執行後，自動評審會評估 shell 命令、插件調用、
電腦使用、自動化寫入，以及啓動 Cloud Agent、子智能體等委派行爲。
它可以放行某項操作、要求批准或予以拒絕，
但不會評審所有副作用，例如記憶寫入和
大多數設置更改。每位成員自己的設置仍是總開關；
暫不支持組織級鎖定。
我能查看機器人代表團隊做了哪些操作嗎？¶
支出與用量見儀表盤的用量頁面，並按產品細分。
審計日誌僅限企業版。 它涵蓋管理、安全和
身份驗證事件，以及機器人創建、訪問權限更改、Team Setup 和例程等
Grok Bot 控制平面事件，可按應用篩選，並
可流式傳輸至您的 SIEM。Action Recording 僅限企業版，是一項
獨立設置，默認關閉。啓用後，它會在內部記錄機器人的
操作。OpenTelemetry 導出僅限企業版。 配置後即可在您自己的
收集器中接收這些事件，並帶有
cursor.surface=grok_bot 標記。它們不會出現在審計日誌頁面上。
我可以限制 Grok Bot 使用哪些模型嗎？¶
團隊模型允許列表僅限企業版，且不保證強制生效。
上手引導中會請您確認，Grok Bot 可能不會
遵循該列表。模型選擇由 Cursor 管理，不提供
面向客戶的模型選擇器。如果您的合同對子處理方有限制，
請聯繫您的賬戶團隊。
Grok Bot 電腦在哪裏運行？¶
今日運行於美國。這與 Cursor 的
US-only 數據駐留
計劃並不相同，該計劃默認不適用於 Grok Bot。如果您的評審
需要書面的數據駐留承諾，請聯繫您的賬戶團隊。參見
數據駐留。
我們可以在本地或使用自有鏡像運行 Grok Bot 嗎？¶
不可以。Grok Bot 僅在 Cursor 託管的雲端電腦上運行。目前不支持本地部署、
在您自有網絡邊界內部署，也不支持自帶鏡像
部署。
我們可以在團隊電腦上安裝自己的安全工具嗎？¶
Team Setup 僅限企業版。 這些管理員可在每臺團隊電腦上安裝
自有工具。Grok Bot 不提供內置的
面向客戶的 EDR 數據流。
爲什麼成員需要重新登錄公司工具？¶
電腦被重建時 (例如鏡像更新或策略變更後) ，電腦內的
登錄會話可能會失效。會話
依託您的身份提供商，因此您的會話策略同樣適用。
管理員終止一臺電腦後，數據會怎樣？¶
電腦管理僅限企業版，且只有組織管理員才能
終止成員的電腦。持久磁盤會保留，成員下一次會話
將基於該磁盤啓動一臺全新的電腦。終止電腦
與僅限企業版的啓用開關是兩回事。
Grok Bot 適用哪些認證？¶
Anysphere 持有由 Schellman 頒發的 ISO/IEC 27001 和 ISO/IEC 42001 認證，
Grok Bot 已包含在當前 ISO 範圍內。證書
與報告可在 trust.cursor.com 獲取。
