Cursor가 모든 명령을 실행하도록 허용하는 방법: Run Everything, allowlist, sandbox

• Auto-review: allowlist에 있는 호출은 즉시 실행되고, 다른 셸 명령은 가능하면 sandbox에서 실행됩니다.
• Allowlist: allowlist에 있는 작업은 승인 없이 실행됩니다. sandboxing을 켜면 지원되는 셸 명령을 sandbox에서 실행할 수 있습니다.
• Run Everything: 모든 도구 호출이 sandbox나 분류기 검토 없이 자동 실행됩니다.

Auto-review는 ~/.cursor/permissions.json(전역) 또는 프로젝트의 .cursor/permissions.json에서 allow_instructions와 block_instructions 배열을 가진 autoRun 객체의 일반 영어 지침을 읽습니다. autoRun은 Auto-review 모드에서만 적용됩니다.

{
  "autoRun": {
    "allow_instructions": ["Running the test suite and the linter is always fine."],
    "block_instructions": ["Every AWS CLI command should go through approval first."]
  }
}

Run Everything은 sandbox를 제거하므로 에이전트가 네트워크와 사용자 계정이 접근할 수 있는 모든 것에 접근할 수 있습니다. 자신의 머신에서는 Allowlist나 Auto-review를 권장하며, Run Everything은 일회용 환경에서만 사용합니다.

Settings > Agents > Approvals & Execution의 목록 외에도 allowlist를 파일로 관리할 수 있습니다. 모든 작업 공간에는 ~/.cursor/permissions.json, 한 작업 공간에는 저장소의 .cursor/permissions.json을 사용합니다. 둘 다 있으면 Cursor가 배열을 이어 붙이므로, 저장소 파일을 커밋하면 팀원도 같은 목록을 사용합니다. Cursor는 파일이 변경되면 다시 읽으며, JSONC 주석을 사용할 수 있습니다.

• terminalAllowlist: 승인 없이 실행되는 터미널 명령입니다. 항목은 대소문자를 구분하는 명령 접두사로 매칭되므로 git은 git status와 일치하지만 gitk와는 일치하지 않습니다. npm:install*처럼 콜론으로 기본 명령과 인수 glob을 구분합니다.
• mcpAllowlist: server:tool 형식의 MCP 도구이며, server는 mcp.json의 키입니다. 대소문자를 구분하지 않고 *는 양쪽과 이름 안에서 모두 작동하므로 github:*는 github 서버의 모든 도구를, linear:list_*는 list 도구들을 허용합니다. 콜론이 없는 항목은 무시됩니다.
• 각 키는 독립적입니다. 파일이 키를 정의하면 병합된 목록이 해당 키에 대해서만 설정 화면 목록을 대체합니다. MCP 도구는 파일로 관리하고 터미널 명령은 설정 화면에 둘 수 있습니다.
• 빈 배열인 키는 빈 allowlist가 되며 설정 화면으로 대체되지 않습니다. 파일이 없거나 읽을 수 없으면 설정 화면 목록이 적용됩니다.
• 파일이 목록을 관리하면 설정 화면의 해당 부분은 읽기 전용이 되어 파일의 항목을 표시하고 Add to allowlist 옵션을 숨깁니다.
• 팀 관리자 대시보드 설정이 우선합니다. 관리자가 Run Mode를 관리하면 파일과 설정 화면 모두 항목을 추가할 수 없습니다.
• 알 수 없는 키는 무시됩니다. Cursor는 이 목록을 보안 경계가 아니라 편의 기능이라고 설명합니다. Cursor CLI에는 별도의 권한 시스템이 있습니다.

{
  "terminalAllowlist": ["git", "npm:install*", "cargo"],
  "mcpAllowlist": ["github:*", "linear:list_issues"]
}

• allowlist에 있는 셸, MCP, Fetch 호출은 즉시 실행됩니다.
• 다른 셸 명령은 가능하면 sandbox에서 실행됩니다. 전체 네트워크, 작업 공간 밖 쓰기, 권한 있는 작업처럼 더 많은 접근이 필요한 명령은 sandbox를 건너뛰고 Cursor 백엔드의 LLM 분류기로 보내집니다.
• sandbox에서 실행한 명령이 제한 때문에 실패하면 에이전트가 sandbox 밖에서 다시 실행할 수 있으며, 분류기가 그 재실행을 검토합니다.
• 분류기가 호출을 차단하면 에이전트가 다른 방법을 시도하거나 Cursor가 승인 확인을 표시합니다.
• Cursor는 Auto-review가 보안 경계가 아니라고 설명합니다. Enterprise 플랜에서는 모델 접근 제어로 비활성화할 수 있으며, 그러면 구성원은 Allowlist로 대체됩니다.

같은 설정 섹션의 다음 토글은 원래 호출을 자동 실행하는 모드에서도 승인을 요구할 수 있습니다. Cursor가 특정 종류의 작업에서 계속 멈춘다면 먼저 이 항목을 확인합니다.

• Browser Protection: 에이전트가 Browser 도구를 자동 실행하지 못하게 합니다.
• File-Deletion Protection: rm 명령을 포함한 자동 파일 삭제를 막습니다.
• External-File Protection: 작업 공간 밖 파일의 자동 생성, 변경, 삭제를 막습니다.
• Read access(Cursor 3.23 이상): 기본값인 System은 에이전트가 승인 없이 작업 공간 밖 파일을 읽게 합니다. Workspace는 경로가 Read Allowlist에 없으면 외부 읽기에 승인을 요청합니다. Read access는 Run Everything에서는 적용되지 않습니다.

Cursor 3.5에서 Ask Every Time 모드가 지원 중단되었습니다. 같은 동작을 원하면 Allowlist를 선택하고 목록을 비워 둡니다. Run in Sandbox는 sandboxing을 켠 Allowlist로 통합되었습니다. Run Mode는 로컬 에이전트에만 적용됩니다. Cloud Agents는 자체 머신에서 실행되며 승인을 요청하지 않습니다.

• Cursor sandbox: sandbox.json과 네트워크 모드
• 12개 이상의 AI 코딩 에이전트에서 모든 명령 허용