Como permitir que o Cursor rode todos os comandos: Run Everything, allowlist e sandbox

• Auto-review: chamadas da allowlist rodam na hora; outros comandos de shell rodam no sandbox quando possível.
• Allowlist: ações na sua allowlist rodam sem aprovação; com o sandboxing ativado, comandos de shell compatíveis podem rodar no sandbox.
• Run Everything: toda chamada de ferramenta roda automaticamente, sem sandbox nem revisão do classificador.

O Auto-review lê instruções em inglês simples de ~/.cursor/permissions.json (global) ou .cursor/permissions.json no projeto, em um objeto autoRun com os arrays allow_instructions e block_instructions. autoRun só vale no modo Auto-review.

{
  "autoRun": {
    "allow_instructions": ["Running the test suite and the linter is always fine."],
    "block_instructions": ["Every AWS CLI command should go through approval first."]
  }
}

Run Everything remove o sandbox, então o agente pode acessar a rede e tudo que sua conta de usuário acessa. Prefira Allowlist ou Auto-review na sua própria máquina e deixe Run Everything para ambientes descartáveis.

Além da lista em Settings > Agents > Approvals & Execution, você pode manter a allowlist em um arquivo: ~/.cursor/permissions.json para todos os workspaces, ou .cursor/permissions.json no repositório para um workspace. Quando os dois existem, o Cursor concatena os arrays, então faça commit do arquivo do repositório e o time recebe a mesma lista. O Cursor relê os arquivos quando eles mudam, e comentários JSONC são permitidos.

• terminalAllowlist: comandos de terminal que rodam sem aprovação. As entradas são prefixos de comando comparados diferenciando maiúsculas de minúsculas, então git corresponde a git status, mas não a gitk. Dois-pontos separam o comando base de um glob de argumentos, como em npm:install*.
• mcpAllowlist: ferramentas MCP escritas como server:tool, onde server é a chave do mcp.json. A comparação não diferencia maiúsculas de minúsculas e * funciona em qualquer parte e dentro dos nomes, então github:* permite todas as ferramentas do servidor github e linear:list_* permite as ferramentas de listagem. Entradas sem dois-pontos são ignoradas.
• Cada chave é independente: se um arquivo define uma chave, a lista mesclada dela substitui a lista da tela de configurações só para essa chave. Você pode controlar ferramentas MCP no arquivo e deixar os comandos de terminal na tela de configurações.
• Uma chave com array vazio gera uma allowlist vazia, sem recorrer à tela de configurações. Se nenhum arquivo existir ou puder ser lido, vale a lista da tela de configurações.
• Quando um arquivo controla uma lista, aquela parte da tela de configurações fica somente leitura, mostra as entradas do arquivo e esconde a opção Add to allowlist.
• As configurações do painel de admin do time vêm primeiro. Se um admin controla o Run Mode, nem o arquivo nem a tela de configurações podem adicionar entradas.
• Chaves desconhecidas são ignoradas. O Cursor chama essas listas de conveniência, não de barreira de segurança. O Cursor CLI tem seu próprio sistema de permissões.

{
  "terminalAllowlist": ["git", "npm:install*", "cargo"],
  "mcpAllowlist": ["github:*", "linear:list_issues"]
}

• Chamadas de shell, MCP e Fetch da allowlist rodam na hora.
• Outros comandos de shell rodam no sandbox quando possível. Comandos que precisam de mais acesso, como rede completa, gravações fora do workspace ou operações privilegiadas, pulam o sandbox e vão para um classificador LLM no backend do Cursor.
• Se um comando no sandbox falha por uma restrição, o agente pode rodá-lo de novo fora do sandbox, e o classificador revisa essa nova execução.
• Se o classificador bloqueia uma chamada, o agente pode tentar outra abordagem, ou o Cursor mostra um pedido de aprovação.
• O Cursor diz que o Auto-review não é uma barreira de segurança. Nos planos Enterprise, os controles de acesso a modelos podem desativá-lo, e os membros passam a usar Allowlist.

Estas opções na mesma seção de configurações podem exigir aprovação mesmo em um modo que, de outra forma, executaria a chamada automaticamente. Se o Cursor ainda para em um tipo de ação, verifique-as primeiro.

• Browser Protection: impede o agente de rodar ferramentas Browser automaticamente.
• File-Deletion Protection: impede a exclusão automática de arquivos, incluindo comandos rm.
• External-File Protection: impede criar, alterar ou excluir automaticamente arquivos fora do workspace.
• Read access (Cursor 3.23 e posterior): System, o padrão, deixa o agente ler arquivos fora do workspace sem aprovação. Workspace pede aprovação para leituras externas, a menos que o caminho esteja na Read Allowlist. Read access não vale em Run Everything.

O Cursor 3.5 descontinuou o modo Ask Every Time. Para ter o mesmo comportamento, escolha Allowlist e deixe a lista vazia. Run in Sandbox foi incorporado ao Allowlist com o sandboxing ativado. Os Run Modes valem só para agentes locais: Cloud Agents rodam na própria máquina e nunca pedem aprovação.

• Sandbox do Cursor: sandbox.json e modos de rede
• Permitir todos os comandos em mais de 12 agentes de código com IA