Cursor にすべてのコマンドを実行させる方法: Run Everything、allowlist、sandbox

• Auto-review: allowlist にある呼び出しは即座に実行され、その他のシェルコマンドは可能な場合 sandbox で実行されます。
• Allowlist: allowlist にあるアクションは承認なしで実行されます。sandbox を有効にすると、対応するシェルコマンドは sandbox で実行できます。
• Run Everything: すべてのツール呼び出しが、sandbox も分類器のレビューもなしで自動実行されます。

Auto-review は、~/.cursor/permissions.json（グローバル）またはプロジェクトの .cursor/permissions.json から、平易な英語の指示を読み込みます。指示は autoRun オブジェクト内の allow_instructions と block_instructions 配列に書きます。autoRun は Auto-review モードでのみ適用されます。

{
  "autoRun": {
    "allow_instructions": ["Running the test suite and the linter is always fine."],
    "block_instructions": ["Every AWS CLI command should go through approval first."]
  }
}

Run Everything は sandbox を外すため、エージェントはネットワークや、ユーザーアカウントがアクセスできるあらゆるものに到達できます。自分のマシンでは Allowlist か Auto-review を選び、Run Everything は使い捨ての環境に限定してください。

Settings > Agents > Approvals & Execution のリスト以外に、allowlist をファイルで管理することもできます。全ワークスペース用は ~/.cursor/permissions.json、1 つのワークスペース用はリポジトリ内の .cursor/permissions.json です。両方ある場合、Cursor は配列を連結します。リポジトリのファイルをコミットすれば、チームメイトも同じリストを使えます。Cursor はファイルが変更されると再読み込みし、JSONC コメントも使えます。

• terminalAllowlist: 承認なしで実行するターミナルコマンド。エントリは大文字小文字を区別して照合されるコマンドプレフィックスなので、git は git status に一致しますが gitk には一致しません。npm:install* のように、コロンでベースコマンドと引数の glob を区切ります。
• mcpAllowlist: server:tool 形式で書く MCP ツール。server は mcp.json のキーです。照合は大文字小文字を区別せず、* はどちらの部分でも名前の途中でも使えます。github:* は github サーバーのすべてのツールを、linear:list_* は list ツールを許可します。コロンのないエントリは無視されます。
• 各キーは独立しています。ファイルでキーを定義すると、そのキーに限り、マージされたリストが設定画面のリストを置き換えます。MCP ツールはファイルで管理し、ターミナルコマンドは設定画面に残すこともできます。
• 空配列のキーは空の allowlist になり、設定画面へのフォールバックはありません。ファイルが存在しないか読み込めない場合は、設定画面のリストが適用されます。
• ファイルがリストを管理している場合、設定画面の該当部分は読み取り専用になり、ファイルのエントリを表示し、Add to allowlist オプションは非表示になります。
• チーム管理ダッシュボードの設定が最優先です。管理者が Run Mode を管理している場合、ファイルからも設定画面からもエントリを追加できません。
• 不明なキーは無視されます。Cursor はこれらのリストを、セキュリティ境界ではなく利便性のための機能と位置づけています。Cursor CLI には独自の権限システムがあります。

{
  "terminalAllowlist": ["git", "npm:install*", "cargo"],
  "mcpAllowlist": ["github:*", "linear:list_issues"]
}

• allowlist にあるシェル、MCP、Fetch の呼び出しは即座に実行されます。
• その他のシェルコマンドは可能な場合 sandbox で実行されます。フルネットワーク、ワークスペース外への書き込み、特権操作など、より多くのアクセスが必要なコマンドは sandbox を経由せず、Cursor のバックエンドの LLM 分類器に送られます。
• sandbox 内のコマンドが制限で失敗した場合、エージェントは sandbox 外で再実行でき、その再実行を分類器がレビューします。
• 分類器が呼び出しをブロックした場合、エージェントは別の方法を試すか、Cursor が承認プロンプトを表示します。
• Cursor は、Auto-review はセキュリティ境界ではないとしています。Enterprise プランではモデルアクセス制御で無効化でき、その場合メンバーは Allowlist にフォールバックします。

同じ設定セクションにある以下のトグルは、本来なら自動実行されるモードでも承認を要求することがあります。特定の種類のアクションで Cursor が止まる場合は、まずこれらを確認してください。

• Browser Protection: エージェントが Browser ツールを自動実行するのを防ぎます。
• File-Deletion Protection: rm コマンドを含め、ファイルの自動削除を防ぎます。
• External-File Protection: ワークスペース外のファイルの自動作成・変更・削除を防ぎます。
• Read access（Cursor 3.23 以降）: デフォルトの System では、エージェントは承認なしでワークスペース外のファイルを読み取れます。Workspace では、パスが Read Allowlist にない限り、ワークスペース外の読み取りに承認を求めます。Read access は Run Everything では適用されません。

Cursor 3.5 で Ask Every Time モードは非推奨になりました。同じ動作にするには、Allowlist を選んでリストを空のままにします。Run in Sandbox は、sandbox を有効にした Allowlist に統合されました。Run Mode はローカルエージェントにのみ適用されます。Cloud Agents は専用のマシンで実行され、承認を求めることはありません。

• Cursor の sandbox: sandbox.json とネットワークモード
• 12 以上の AI コーディングエージェントですべてのコマンドを許可