Notre lecture
Considérez Cursor comme un moyen d'obtenir plus vite un premier jet de modification, pas comme le propriétaire de la pull request. Les points forts documentés : contexte du dépôt, éditions multi-fichiers, agents parallèles et cloud, revue de PR par un bot. Le jugement sur les tests, la lecture du diff et la décision de fusion restent au développeur. Agents cloud et Bugbot démarrent au plan Premium : un essai en gratuit ne montrera pas le parcours complet.
Le contexte d'abord : ce que couvre l'indexation annoncée
Cursor est un éditeur fondé sur VS Code, dont l'éditeur décrit la compréhension du code et le contexte multi-fichiers. Sur la page d'accueil, l'indexation sécurisée du code et la recherche sémantique figurent dans une liste de projets de recherche publiés en 2026. Cette liste ne dit pas ce qui est indexé, à quelle fréquence, ni où l'index est stocké. Lisez-la comme une orientation, pas comme une spécification, et posez toute question de localisation des données à la documentation de sécurité.
Pour un ticket sur un dépôt inconnu, la démo de la page d'accueil montre une étape de planification : l'agent pose des questions, puis liste des tâches avant de construire. L'habitude est à reprendre : répondez, corrigez la liste de tâches et ouvrez les fichiers cités avant toute écriture de code. C'est une recommandation éditoriale ; la démo ne prouve pas que le plan convient à votre code.
Modifier plusieurs fichiers : trois niveaux d'autonomie
Le produit propose des modifications ciblées, un agent et des agents cloud. Un témoignage de la page d'accueil décrit l'éventail, de la commande d'édition rapide à l'exécution entièrement agentique. La page tarifs affiche Agent sur tous les plans, avec des requêtes limitées en Free, tandis que les agents cloud et les automatisations commencent à Premium. La page d'accueil indique que les agents cloud travaillent sur leurs propres machines, en parallèle ; sa démo montre une exécution d'environ quatorze minutes qui se termine par un enregistrement d'écran pour le relecteur.
Le travail peut aussi arriver depuis l'extérieur de l'éditeur. La page d'accueil montre Cursor dans le terminal, dans Slack (un collègue lui demande de tenter une modification, il répond avec un lien vers la PR) et en revue de PR dans GitHub. La place de marché propose un modèle qui surveille un canal Slack, enquête dans le code et ouvre une PR, ainsi qu'un plugin Slack parmi ceux mis en avant.
Une offre d'emploi d'Inter, qui ne compte que comme SIGNAL, décrit un travail backend sur des microservices Java et Micronaut où les ingénieurs utilisent Cursor, des agents et des intégrations MCP pour le diagnostic, l'écriture de tests, le refactoring et la revue de code. La même offre demande aux candidats de juger l'architecture, la sécurité et la qualité du code généré. Elle montre ce que l'employeur attend du développeur, pas les performances de l'outil.
Tests : ce qui est documenté, et ce qu'a appris Brex
La page d'accueil affirme que les agents cloud construisent, testent et démontrent des fonctionnalités de bout en bout. La place de marché ajoute des automatisations : ajout de couverture de tests, correction des échecs de CI sur main, tri des exécutions GitHub Actions en échec. Rien n'indique quel outil de test est utilisé, si les résultats sont joints à la PR, ni dans quel environnement l'agent s'exécute. Un court essai tranche : confiez à un agent un vrai ticket sur un dépôt dont la CI fonctionne et lisez ce qu'il rapporte.
Brex montre à quoi ressemble une boucle testée. Pour une migration de Micronaut 3 vers 4, un ticket Linear déclenche un agent de génération qui compile en local et ouvre une PR en brouillon. Une étiquette déclenche ensuite un agent de validation : il déploie en environnement de développement, lance les tests d'intégration et corrige les échecs, jusqu'à trois tentatives, puis s'arrête et laisse un rapport en commentaire de PR. Brex indique qu'un seul ingénieur a migré 180 services en un mois, ce qu'elle présente comme un gain de 32x par personne face à un effort précédent de trois ingénieurs pour environ 50 services en un trimestre. Ce sont les chiffres de Brex, pour une seule migration.
Brex expose aussi ses limites. Les agents ne fusionnent jamais en production ; un humain relit. Et certaines PR automatiques ont passé tous les tests existants avant de provoquer des bugs subtils en production, faute de couverture de tests ou de supervision suffisante sur ces services. La leçon vaut pour toute équipe : un agent n'est fiable que dans la mesure des contrôles qui l'entourent.
Relecture et pull request
La page tarifs liste les revues de code par IA via Bugbot et l'hébergement de code via Origin à partir de Premium, et la place de marché met en avant un modèle qui examine les PR à la recherche de failles exploitables et ne signale que les constats validés. Un plugin de canevas affiche les diffs de PR regroupés par importance. Aucune source ne donne de taux de faux positifs ni ne dit ce que le bot laisse passer : utilisez-le comme second lecteur qui vous oriente vers des fichiers, pas comme approbateur.
Un modèle de la place de marché assigne des relecteurs et approuve automatiquement les PR à faible risque. Son acceptabilité dépend d'une règle que seule votre équipe peut écrire. Définissez ce que « faible risque » veut dire, en fichiers et en taille de changement, avant de l'activer. Brex a gardé une relecture humaine sur chaque PR de sa migration.
Contrôles d'équipe et plan nécessaire
La page sécurité indique que le Privacy Mode peut être activé par un utilisateur ou un administrateur, que les nouveaux membres héritent du réglage de l'équipe, et que Cursor n'entraîne pas de modèles sur les données lorsqu'il est actif. Elle cite les certifications AIUC-1, ISO/IEC 27001:2022 et ISO/IEC 42001:2023 ainsi qu'une attestation SOC 2 Type II, avec rapports sur demande via son portail de confiance. Sa documentation couvre la sécurité des agents, le réseau des agents cloud, les hooks, MCP et les clés gérées par le client.
Côté plans, Teams (30 $ et plus par utilisateur et par mois) liste le SSO SAML/OIDC, les statistiques d'usage et les réglages de confidentialité à l'échelle de l'équipe. SCIM, journaux d'audit et contrôles d'accès aux dépôts, modèles et MCP n'apparaissent qu'en Enterprise. L'usage des modèles tiers est facturé à part. La page tarifs contient aussi des lignes sur un réseau social et des fonctions Grok, et précise que Plus ne propose que des modèles Grok : lisez uniquement les lignes Cursor. Un plan gratuit existe, mais il n'inclut ni agents cloud ni Bugbot.
Méthode et limites
2026-10-27
Cet état daté compte les entreprises distinctes disposant de preuves clients publiques. CONFIRMED désigne une étude de cas, un témoignage nommé ou une source de presse ; DECLARED, une déclaration de l’entreprise elle-même ; OBSERVED, une liste de clients publiée par un éditeur ; SIGNAL, une offre d’emploi. Les quatre niveaux comptent, avec des forces différentes. Les lignes retirées ou sans niveau sont exclues. Les exemples forment une sélection limitée, vérifiée dans les 90 jours. Les faits éditeurs sont sourcés et vérifiés dans les 60 jours. La couverture est inégale ; une preuve absente reste inconnue. Ces chiffres ne mesurent ni les parts de marché ni les performances. Les dates de collecte ne sont pas des dates d’adoption.
