Cómo permitir que Cursor ejecute todos los comandos: Run Everything, allowlist y sandbox

• Auto-review: las llamadas de la allowlist se ejecutan de inmediato; los demás comandos de shell se ejecutan en el sandbox cuando es posible.
• Allowlist: las acciones de tu allowlist se ejecutan sin aprobación; con el sandboxing habilitado, los comandos de shell compatibles pueden ejecutarse en el sandbox.
• Run Everything: cada llamada a herramienta se ejecuta automáticamente, sin sandbox ni revisión del clasificador.

Auto-review lee instrucciones en inglés sencillo desde ~/.cursor/permissions.json (global) o .cursor/permissions.json en el proyecto, en un objeto autoRun con los arrays allow_instructions y block_instructions. autoRun solo aplica en el modo Auto-review.

{
  "autoRun": {
    "allow_instructions": ["Running the test suite and the linter is always fine."],
    "block_instructions": ["Every AWS CLI command should go through approval first."]
  }
}

Run Everything quita el sandbox, así que el agente puede acceder a la red y a todo lo que tu cuenta de usuario puede. En tu propia máquina, prefiere Allowlist o Auto-review, y deja Run Everything para entornos desechables.

Además de la lista en Settings > Agents > Approvals & Execution, puedes mantener la allowlist en un archivo: ~/.cursor/permissions.json para todos los workspaces, o .cursor/permissions.json en el repo para un solo workspace. Cuando existen ambos, Cursor concatena sus arrays, así que haz commit del archivo del repo y tu equipo tendrá la misma lista. Cursor vuelve a leer los archivos cuando cambian, y se permiten comentarios JSONC.

• terminalAllowlist: comandos de terminal que se ejecutan sin aprobación. Las entradas son prefijos de comando que se comparan distinguiendo mayúsculas y minúsculas, así que git coincide con git status pero no con gitk. Dos puntos separan el comando base de un glob de argumentos, como en npm:install*.
• mcpAllowlist: herramientas MCP escritas como server:tool, donde server es la clave de mcp.json. La comparación no distingue mayúsculas y minúsculas y * funciona en cualquiera de las dos partes y dentro de los nombres, así que github:* permite todas las herramientas del servidor github y linear:list_* permite las herramientas list. Las entradas sin dos puntos se ignoran.
• Cada clave es independiente: si un archivo define una clave, su lista combinada reemplaza la lista de la pantalla de configuración solo para esa clave. Puedes controlar las herramientas MCP en el archivo y dejar los comandos de terminal en la pantalla de configuración.
• Una clave con un array vacío da una allowlist vacía, sin volver a la pantalla de configuración. Si no existe ningún archivo o no se puede leer, se aplica la lista de la pantalla de configuración.
• Cuando un archivo controla una lista, esa parte de la pantalla de configuración pasa a ser de solo lectura, muestra las entradas del archivo y oculta la opción Add to allowlist.
• La configuración del panel de administración del equipo tiene prioridad. Si un administrador controla el Run Mode, ni el archivo ni la pantalla de configuración pueden agregar entradas.
• Las claves desconocidas se ignoran. Cursor llama a estas listas una comodidad, no una barrera de seguridad. La Cursor CLI tiene su propio sistema de permisos.

{
  "terminalAllowlist": ["git", "npm:install*", "cargo"],
  "mcpAllowlist": ["github:*", "linear:list_issues"]
}

• Las llamadas de shell, MCP y Fetch que están en la allowlist se ejecutan de inmediato.
• Los demás comandos de shell se ejecutan en el sandbox cuando es posible. Los comandos que necesitan más acceso, como red completa, escrituras fuera del workspace u operaciones privilegiadas, saltan el sandbox y van a un clasificador LLM en el backend de Cursor.
• Si un comando en el sandbox falla por una restricción, el agente puede volver a ejecutarlo fuera del sandbox, y el clasificador revisa esa nueva ejecución.
• Si el clasificador bloquea una llamada, el agente puede intentar otro enfoque, o Cursor te muestra una solicitud de aprobación.
• Cursor dice que Auto-review no es una barrera de seguridad. En los planes Enterprise, los controles de acceso a modelos pueden desactivarlo, y entonces los miembros vuelven a Allowlist.

Estos interruptores de la misma sección de configuración pueden exigir aprobación incluso en un modo que de otro modo ejecutaría una llamada automáticamente. Si Cursor sigue deteniéndose en un tipo de acción, revísalos primero.

• Browser Protection: impide que el agente ejecute herramientas Browser automáticamente.
• File-Deletion Protection: impide la eliminación automática de archivos, incluidos los comandos rm.
• External-File Protection: impide crear, cambiar o eliminar automáticamente archivos fuera del workspace.
• Acceso de lectura (Cursor 3.23 y posteriores): System, el valor predeterminado, permite que el agente lea archivos fuera del workspace sin aprobación. Workspace pide aprobación para lecturas externas, salvo que la ruta esté en la Read Allowlist. El acceso de lectura no aplica en Run Everything.

Cursor 3.5 dejó obsoleto el modo Ask Every Time. Para obtener el mismo comportamiento, elige Allowlist y deja la lista vacía. Run in Sandbox se fusionó con Allowlist con el sandboxing activado. Los Run Modes solo aplican a agentes locales: los Cloud Agents se ejecutan en su propia máquina y nunca piden aprobación.

• Sandbox de Cursor: sandbox.json y modos de red
• Permitir todos los comandos en más de 12 agentes de programación con IA