Cursor 導入・安全設定・使い方ガイド
AIコードエディタ「Cursor」を業務で安全に使い始めるための研修資料を、記事として読みやすくまとめました。テーマは「AIに任せる前に、まず守りを固める。」導入、安全な設定、使い方、運用ルールの順に解説します。
※2026年11月9日時点の公式ドキュメントに基づく内容です。Cursorは更新が速いので、画面の名称は最新版でご確認ください。
Cursorとは
VS Codeをもとに作られた、AI機能を組み込んだコードエディタです。拡張機能や設定はVS Codeとほぼ同じ感覚で使えるので、VS Codeを使っている人はすぐ慣れます。AI機能は大きく4つあります。
Tab補完：入力中に次のコードを予測。Tabキーで確定する。
Agent：指示を受けて、複数ファイルの編集やコマンド実行まで行う。
Cloud Agents：専用のクラウド環境でエージェントを動かす。
CLI：ターミナルから agent コマンドで使う。
Agentは「ファイルを書き換える」「コマンドを実行する」ことができるため、安全設定が重要になります。
1. 導入
導入の手順
1. 公式サイトから入手：cursor.com/download からのみ。非公式の配布物は使わない
2. インストールしてログイン：業務で使うなら会社が管理するアカウント（Teams・SSO）で
3. VS Codeの設定を移行：初回起動時に拡張機能・設定・ショートカットを取り込める
4. Privacy Modeを選ぶ：初回の設定画面で必ず「オン」を選ぶ（次章で解説）
5. 日本語化（任意）：拡張機能「Japanese Language Pack」を追加する
ダウンロードは必ず公式サイトから。偽サイトや改造版の配布もあり得るので、検索結果の広告リンクから入れないよう注意してください。手順4のPrivacy Modeが最も大事です。初回に「オフ」を選んでしまった場合も後から設定で変更できます。
プランの選び方
Hobby（無料）：まず試してみたい個人
Pro（月額$20）：日常的に使う個人
Pro+（月額$60）：エージェントを多く使う個人
Ultra（月額$200）：一日中エージェントを回すヘビーユーザー
Teams（月額$40／人）：業務利用の推奨。Privacy Modeが既定でオン・強制、管理者が一括設定
Enterprise（個別見積）：大規模組織・監査対応
有料プランは月額に応じた利用枠（クレジット）制です。個人で試すならHobbyかPro、会社の業務で使うならTeams以上を推奨します。Privacy Modeを管理者が強制でき、個人の設定ミスで情報が残るのを防げるためです。料金と名称は変更が多いため、契約前に cursor.com/pricing で最新をご確認ください。
2. 安全な設定：5つの守りを固める
① Privacy Mode：コードを保存・学習させない
② Run Mode：勝手に実行させない
③ サンドボックス：動ける範囲を絞る
④ .cursorignore：秘密を読ませない
⑤ MCP・ルール：外部からの指示を疑う
①はデータの扱い、②③はエージェントが勝手に動かないための制御、④⑤は「何を読ませるか」の制御です。どれか一つで完璧になるものはないので、重ねて守るのが基本です。
① Privacy Mode：コードを保存・学習させない
オンにすると：
Cursor側でコードを保存しない（ゼロデータ保持）
Cursorやモデル提供元の学習に使われない
注意点：
オンでも、AI処理のためにコードはサーバーへ送られる（保存されないだけ）
個人プランは自分でオンにする。Teams・Enterpriseは既定でオン・強制
個人プランでは提供元が安全監視のため短期間保持する場合あり
設定する場所は、アカウント作成時の選択画面、またはCursor Settingsの「Privacy Mode」。チームでは管理者がダッシュボードで一括強制できます。
誤解が多いポイントですが、Privacy Modeは「送信しない」ではなく「保存・学習しない」設定です。だからこそ、そもそも送ってはいけない情報（APIキーや個人情報）は④の.cursorignoreや運用で守ります。
② Run Mode：実行は承認制にする
設定場所：Settings › Agents › Approvals & Execution
Auto-review（◎ 既定・推奨）：許可リストは即実行。他のシェルはサンドボックス内で実行し、残りは自動審査へ回す
Allowlist（○ 慎重派向け）：許可リストの操作だけ承認なしで実行。リストを空にすれば毎回確認
Run Everything（× 業務では使わない）：すべてのツール呼び出しを自動で実行
自動審査も許可リストも「完全な防御ではない」と公式も明言しています。ファイル削除、git push、本番環境への接続は必ず人が確認しましょう。
Run Modeはエージェントがシェルコマンド、MCPツール、Web取得をどこまで自動で実行するかを決めます。Cursor 3.6以降はAuto-reviewが既定です。以前の「Ask Every Time」は廃止され、空のAllowlistが同じ動きになります。~/.cursor/permissions.json の block_instructions に「常に確認してほしい操作」を文章で書いておくこともできます。
③ サンドボックスと保護機能
サンドボックスの既定：
読み書きできるのはワークスペース内だけ
.git/config・.git/hooks・.vscode・.cursorignore などは保護
ネットワークは原則遮断（sandbox.jsonで許可した宛先＋既定の宛先のみ）
設定は ~/.cursor/sandbox.json か、プロジェクトの .cursor/sandbox.json（プロジェクト側が優先）
自動モードでも承認を求める保護：
ファイル削除の保護（rm を含む）
ワークスペース外ファイルの保護
ブラウザ操作の保護
さらに絞るなら：読み取り範囲（Read Access）を「Workspace」にすると、プロジェクト外の読み取りにも承認が必要になります。Read Accessの既定は「System」でプロジェクト外も読めるため、機密の多い端末では「Workspace」を検討してください。サンドボックスはmacOSではSeatbelt、LinuxではLandlockとseccompを使い、使えない環境ではコマンド実行前に承認を求める動きになります。チームの管理者設定は個人・プロジェクトの設定より優先されます。
④ .cursorignore：秘密情報を読ませない
# プロジェクト直下に置く
.env*
*.pem
*.key
secrets/
config/credentials*.json
customer_data/.gitignore に書いたファイルや .env などは既定で除外される
追加で除外したいものを、.gitignore と同じ書き方で列挙する
ただし公式も「完全な保護は保証されない」と明記。ターミナルやMCP経由では読まれる可能性がある
根本対策：APIキーや個人情報をリポジトリに置かない。環境変数や秘密情報の管理ツールに移す。.cursorignoreは保険と考え、そもそも秘密情報をプロジェクト内に置かない運用を徹底してください。
⑤ MCP・ルール：外部からの指示を疑う
MCP（外部ツール連携）：
接続にも、各ツールの呼び出しにも承認が必要（既定）
入れるのは公式または社内で審査したサーバーだけ
許可リストに入れるのは読み取り系など影響の小さいものに限る
連携用のトークンは最小限の権限で発行する
文章に仕込まれた指示：
AIはREADME、.cursor/rules、AGENTS.md、Issue、Webページの文章も「指示」として読む
他人のリポジトリを開いたら、まずルールファイルと .cursor/mcp.json を確認
「以前の指示を無視して」などの文言は要注意
実例として、Slackのメッセージ経由でMCP設定を書き換えさせる脆弱性（CVE-2025-54135）が報告され、修正済みです。Cursorは常に最新版に更新しましょう。MCPは便利な反面、外部から取り込んだ文章に悪意ある指示が混ざる「プロンプトインジェクション」の入り口になります。
導入時の安全チェックリスト
公式サイトからインストールした
Privacy Mode がオンになっている
業務は会社管理のアカウント（Teams）
Run Mode は Auto-review か空の Allowlist
Run Everything を使っていない
.cursorignore で秘密ファイルを除外した
APIキー・個人情報をリポジトリに置いていない
MCPは審査済みのものだけ
他人のリポジトリのルール・MCP設定を確認した
Cursor を最新版に更新している
3. 使い方
基本の3機能
Tab補完（Tab）：書きかけのコードの続きを薄い文字で提案。Tabで確定、Escで却下。
インライン編集（Ctrl / ⌘ + K）：範囲を選んで「エラー処理を追加して」などと指示し、その場で書き換える。
Agent（Ctrl / ⌘ + I または L）：チャットで依頼。複数ファイルの編集やコマンド実行まで行い、変更点（差分）を提示する。
まずはTab補完から慣れるのがおすすめです。小さな修正はインライン編集、複数ファイルにまたがる作業はAgentと使い分けます。ショートカットは既定値で、バージョンや個人設定で変わる場合があります。
上手な頼み方：4つのコツ
1. 目的・制約・完了条件を書く：例「ログイン画面にパスワード再設定リンクを追加。今のデザインに合わせ、テストも追加して」
2. @ で対象を指定する：「@ファイル名」で読む範囲を絞ると精度が上がり、関係ないファイルも読まれにくい
3. 小さく分けて頼む：一度に大改修させず1機能ずつ。大きな作業は先に計画（Plan）を出させて確認する
4. 差分は必ず読む：提案された変更を確認してから受け入れる。意味がわからない変更は理由を聞く
AIは「何をしてほしいか」が曖昧だと、勝手に範囲を広げがちです。目的・やってはいけないこと・完成の基準をセットで伝えると、結果が安定し、意図しない変更も減ります。
ルールでチームの約束を固定する
# .cursor/rules/security.mdc
---
description: セキュリティの約束
alwaysApply: true
---
- APIキーやパスワードをコードに書かない
- 本番環境に接続するコマンドは実行しない
- パッケージを追加するときは理由を説明する
- ファイルを削除する前に必ず確認する.cursor/rules/ のルールはGitで共有できる
AGENTS.md や CLAUDE.md も読み込まれる
permissions.json・sandbox.json もプロジェクトの .cursor/ に置いてコミットすれば、全員が同じ設定になる
ルールは「お願い」です。AIが守らないこともあるので、確実に止めたい操作は Run Mode とサンドボックスで止めます。ルールファイルにAPIキーなどを例として書かないよう注意してください。
安全な作業の流れ
STEP 1 ブランチを切る：Gitでいつでも戻れる状態にしてから始める
STEP 2 依頼する：目的と範囲を具体的に、小さく頼む
STEP 3 差分を確認：変更の意味がわかるまで読む
STEP 4 テストを実行：AIが書いたテストも人が中身を確認
STEP 5 レビュー後に反映：人のレビューを通してからマージする
STEP1のブランチ作成は、AIが大きく書き換えてしまった時の保険になります。STEP5は、AIが書いたコードでも人が書いたコードと同じレビュー基準を当てることがポイントです。
4. 運用ルール：AIは速い同僚。最後に責任を持つのは人。
1. 機密情報・個人情報はAIに渡さない
2. 自動実行の範囲を広げすぎない
3. 変更は必ず人がレビューしてから反映する
AIは作業を何倍にも速くしますが、間違いや危険な操作もします。設定で守りを固め、人が最終確認する。この2段構えで使ってください。
コメント