Cursorを広げる仕組み：MCP、Rules、Skills、Subagents、Hooks、Cloud Agents、Bugbot、CLIを、公式ドキュメントで確かめる

3行でいうと

拡張の入口は、サイドバーの「Customize」ページにまとまっています。Plugins、Rules、Skills、Subagents、Hooks、Commands、MCPが並び、ユーザー、ワークスペース、チームの単位で扱えます。
「読ませる決まり」はRules（.cursor/rules の .mdc と、プロジェクト直下の AGENTS.md）、「必要なときに読む手順書」はSkills（SKILL.md）です。AIの動きに割り込んで止めたいときはHooksですが、公式は、Hooksは初期設定では失敗しても処理を通す（fail-open）と書いています。
留守のあいだに働く仕組みは、Cloud Agents（以前の名前はBackground Agents）、Automations、Bugbotです。いずれも使った分だけの課金で、最初に使うとき、支出の上限を決めるよう求められます。

この記事は、公式ドキュメントを2026年10月22日に読んでまとめたもので、実際に使って確かめた記録ではありません。運営者はCursorを入れていますが、使い心地はこの記事には書いていません。コマンド名、設定名、ファイル名、メニュー名は公式の記載を写したもので、動作の確認はしていません。公式の文章は要約の形で取得したため、引用は最小限にして言い換えています。

先に結論

外の道具につなぐのはMCP。 設定は .cursor/mcp.json（プロジェクト）か ~/.cursor/mcp.json（全体）に書くか、「Customize」から入れます。初期設定では、MCPのツールを使う前に承認を求められます。
毎回の決まりはRules、必要なときだけ読む手順はSkills。 両方とも、AIに読ませる文章です。強制する仕組みではなく、強制に近い動きが欲しいときはHooksです。
AIの仕事を分担させるのがSubagents。 自分の文脈の窓で動き、結果だけを親に返します。トークンは別々に使うので、5つ並べると約5倍使う、とドキュメントにあります。
留守番はCloud Agents。 隔離されたクラウドの仮想マシンで動き、あなたのパソコンがインターネットにつながっていなくても動く、と公式は書いています。
ターミナルからは agent コマンド。 対話でも、-p で台本（スクリプト）からでも使えます。

前提：用語をそろえる

MCP（Model Context Protocol）：AIの道具を外部のサービスとつなぐための共通ルールです。
エージェント：Cursorでは、複数手順のコーディングを、端末のコマンドの実行やファイルの編集も含めて進めるAIの動き方を指します。
フック（Hooks）：エージェントの動きの前後に、あなたが用意したスクリプトを差し込む仕組みです。
fail-open：フックが失敗しても処理を止めずに通す動き方です。逆に、失敗したら止める設定を、公式は failClosed と呼んでいます。
ワークツリー（worktree）：Gitの機能で、同じリポジトリを別のフォルダに並べて作業する仕組みです。

たとえるなら、Rulesは「壁に貼った社内ルール」、Skillsは「棚にある手順書」、Hooksは「ドアの警備員」、MCPは「外部の工具屋さんとの電話線」です（僕らのたとえで、公式の表現ではありません）。

入口：「Customize」ページ

公式の「Customize Cursor」によると、Customizeはサイドバーのページで、拡張を足したり管理したりする入口です。ユーザー、チーム、ワークスペースの単位で足して管理できる、と書かれています（「唯一の場所」とは読んだ範囲では書かれていませんでした）。公式の表では、役割は次のとおりです（MCPは表になく、同じページの案内に「外部のツール、API、データにつなぐ」という説明があります）。

部品	公式の説明の要点
Plugins	rules、skills、subagents、commands、MCPサーバー、hooksをまとめた配布用の束
Rules	エージェントの動かし方についての、常時の指示
Skills	関連するときにエージェントが読み込む、`SKILL.md` で定義した能力
Subagents	自分の文脈の窓で動く、専門の助手
Hooks	エージェントの流れの途中で動くスクリプト
Commands	エージェントのチャットで `/` で呼ぶ、再利用できる指示文
MCP servers（表の外の説明）	外部のツールやデータとの接続

MCP：外の道具につなぐ

つなぎ方と置き場所

公式の「MCP」ページによると、つなぎ方は3種類です。

方式	動く場所	入力	認証
`stdio`	手元（Cursorが管理）	シェルのコマンド	手動
`SSE`	手元またはリモート	SSEのURL	OAuth
`Streamable HTTP`	手元またはリモート	HTTPのURL	OAuth

設定ファイルは、プロジェクトが .cursor/mcp.json、全体が ~/.cursor/mcp.json です。最上位のキーは mcpServers で、サーバーの名前ごとに書きます。
stdioでは type（必須で "stdio"）、command（必須）、args、env、envFile（stdioだけ）が使えます。リモートでは url と headers を書きます。
値の中には、${env:NAME}（環境変数）、${userHome}、${workspaceFolder} などが使えます。公式は、秘密の値は直書きせず環境変数で渡すよう勧めています。
「Customize」から入れることもできます。Cursor Marketplaceの掲載ページの「Add to Cursor」から入れて、OAuthで認証する流れも書かれています。

OAuth

リモートのサーバーは、動的なクライアント登録か、auth に CLIENT_ID（必須）、CLIENT_SECRET（任意）、scopes（任意）を書く方法を使えます。公式は、登録するリダイレクトURLとして、Web・Cloud Agents用の https://www.cursor.com/agents/mcp/oauth/callback と、デスクトップアプリ用の http://localhost:8787/callback を挙げています。Cloud AgentsのMCPのサインインは、ローカルとは別に保たれ、ローカルでサインアウトしてもCloud Agentsは出ません。

承認と安全

公式は、初期設定ではMCPのツールを使う前に承認を求める、と書いています。ツール名の横の矢印で引数を見られます。
MCPは、端末のコマンドと同じ「Run Modes」に従います。「Auto-review」モードでは、許可リストに入ったMCPツールはすぐ実行され、それ以外は分類器（classifier）を通ります。
安全の注意として公式が書いているのは、信頼できる出どころのサーバーだけを入れること、各サーバーが触れるデータとAPIを確かめること、権限を絞ったAPIキーを使うこと、重要な連携ではサーバーのコードを確かめることです。MCPサーバーは、あなたの代わりに外部のサービスに触れ、コードを実行できる、とも書かれています。機微なデータでは、stdioで手元で動かし、隔離された環境も考える、とあります。
不具合の調べ方として、出力パネルのドロップダウンから「MCP Logs」を選ぶ、とあります。
組織向けには、「Team Settings > MCP Configuration」の許可リスト（コマンドやURLのパターンで承認）、ローカルサーバーのネットワーク制御（Allow all、Allowlist、Deny all、No sandbox）などがあります。

Rules：毎回読ませる決まり

公式の「Rules」によると、種類は4つです。

種類	いつ効くか
Always Apply	すべてのチャットで
Apply Intelligently	説明を見て、エージェントが必要と判断したとき
Apply to Specific Files	globに合うファイルが文脈に入ったとき
Apply Manually	チャットで `@my-rule` のように呼んだときだけ

プロジェクトのRules。 .cursor/rules に .mdc ファイルで置きます。.mdc の拡張子が必須で、フロントマター（先頭の設定）の無い .md は無視される、と書かれています。サブフォルダで整理できます。
フロントマター。 alwaysApply、globs、description の3つで動きが決まります。
AGENTS.md。 プロジェクト直下に置く、メタデータの無い単純なMarkdownです。サブフォルダにも置け、入れ子の指示は親と合わさり、より具体的なものが優先されます。
User Rules。 「Customize」の「Rules」で設定する、全プロジェクト共通の好みです。Agent（チャット）だけで使われ、インライン編集（Cmd/Ctrl+K）には使われません。
Team Rules。 TeamsとEnterprise向けで、ダッシュボードで管理します。「Enforce this rule」を付けると必須になり、メンバーは無効にできません。
優先順位。 Team Rules、Project Rules、User Rulesの順で、衝突したら前のほうが勝ちます。
作り方。 エージェントで /create-rule を入力するか、「Customize」の「Rules」で「Add Rule」を押します。
書き方の目安。 1つのルールは500行未満に。同じ間違いが繰り返されるときだけ足し、スタイルガイドのコピーは避ける、と書かれています。

読んだ範囲では、古い .cursorrules ファイルの扱いは、Rulesのページに書かれていませんでした。

Skills：必要なときに読む手順書

公式の「Skills」は、Agent Skillsを、オープンな標準に沿った、持ち運べるフォルダだと説明しています。中身は SKILL.md と、必要に応じて scripts/、references/、assets/ です。資料は必要なときに読み込まれます。
置き場所は、プロジェクトが .agents/skills/ か .cursor/skills/、ユーザーが ~/.agents/skills/ か ~/.cursor/skills/ です。互換用に .claude/skills/ と .codex/skills/（ユーザー側も同様）も読まれます。
SKILL.md の先頭の項目は、name（小文字、数字、ハイフン。フォルダ名と一致）、description（どう使うか。関連度の判定に使われる）が必須です。任意で paths、disable-model-invocation、icon、color、metadata があります。
呼び方は、自動（エージェントが関連すると判断）と、手動（チャットで / を入れて名前を探す）です。disable-model-invocation: true にすると、/skill-name で呼んだときだけ動きます。
組み込みのSkillが19個あり、/create-skill、/create-rule、/migrate-to-skills、/review、/loop などが含まれる、と書かれています。
Cloud Agentsには、ユーザー側の ~/.cursor/skills/ だけが、設定「Settings → Agents」の「Sync Skills for Cloud Agents」をオンにすると同期されます。チームの管理者は、「Team Settings → Security & Identity」で同期を止められます。
安全面で、公式は、エージェントがSkillから参照されたスクリプトを実行する、と書いています。実行の承認や隔離についての記載は、読んだ範囲では見つかりませんでした。

Subagents：仕事を分担させる

公式の「Subagents」によると、エディタ、CLI、Cloud Agentsで使えます。組み込みは「Explore」（コードの検索と分析）と「Browser」（ブラウザの操作）の2つです。
自作は、.cursor/agents/（ユーザーは ~/.cursor/agents/）に、フロントマター付きのMarkdownで置きます。互換用に .claude/agents/ と .codex/agents/ も読まれます。項目は name、description、model（初期値 inherit）、readonly、is_background です。
呼び方は、エージェントの自動の判断か、/name です。
並列にすると、初期設定では親と同じ作業フォルダを共有するので、同時の編集がぶつかります。分離を頼むと、それぞれが自分のGitのワークツリーか、クラウドの仮想マシンとブランチを持ちます。
入れ子は、Cursor 2.5から可能ですが、1段までです。
費用の注意として、各subagentは自分のトークンを使い、5つ並べると約5倍になります。名前を指定した他社モデルは他社モデルの使用として数えられ、TeamsとEnterpriseでは対象モデルにCursor Token Rateがかかります。旧プラン（リクエスト制）でMax Modeが無い場合、model の指定にかかわらずComposerで動く、とあります。

Hooks：エージェントの流れに割り込む

公式の「Hooks」は、エージェントの動きを観察し、止め、拡張するスクリプトだと説明しています。JSONを標準入出力でやり取りします。

設定ファイル hooks.json。 優先順位は、Enterprise、Team、Project、Userの順です。Projectは <プロジェクト>/.cursor/hooks.json（信頼されたワークスペースだけで動く）、Userは ~/.cursor/hooks.json です。Enterpriseは、OSごとの管理用の場所（macOSは /Library/Application Support/Cursor/hooks.json など）です。最上位に "version": 1 が必須です。
イベントの例。 sessionStart、preToolUse、postToolUse、beforeShellExecution、afterShellExecution、beforeMCPExecution、beforeReadFile、afterFileEdit、beforeSubmitPrompt、stop、subagentStart、subagentStop など。補完（Tab）用の beforeTabFileRead、afterTabFileEdit もあります。
種類。 既定は command（スクリプト）です。"type": "prompt" は、LLMが条件を判定します。Cloud Agentsでは使えません。
権限の返し方。 beforeShellExecution などの権限のフックは、allow、deny、ask を返します。終了コード 2 は、deny と同じで、処理を止めます。ほかの終了コードの失敗は、既定では処理が進みます。
failClosed。 true にすると、クラッシュ、タイムアウト、空の出力などで処理が止まります。公式は、安全が重要なフックに使うよう勧め、beforeMCPExecution では特に推奨しています。
ダッシュボード経由のフック。 failClosed と matcher が使えず、失敗すると処理が通ります。止める動きが必要なら、MDM（端末管理）で failClosed: true の hooks.json を配ることを、公式は勧めています。
Cloud Agents。 コマンド型のフックだけが動き、sessionStart、MCP、Tabのフックなどは使えません。ユーザー側のフックは読み込まれません。
ベータ・実験的かどうか。 読んだ範囲では、ページにそういう表記はありませんでした。

Plugins：まとめて配る

公式の「Plugins」によると、Plugins（rules、skills、agents、commands、MCP、hooksの束）には、オープンな「Agent Plugins」形式（plugin.json）と、Cursor独自の「Cursor Plugins」形式（.cursor-plugin/plugin.json）があります。入れ方は「Customize」から「Install」を押し、プロジェクトかユーザーを選びます。公式の「Cursor Marketplace」に載るPluginは、手作業で審査され、オープンソースであることが条件、と書かれています。コミュニティのものは cursor.directory にあります。チーム向けには、チームのマーケットプレイス（Teamsは1つ、Enterpriseは無制限）があります。

Cloud Agents、Automations、Bugbot：留守のあいだに働く

Cloud Agents

公式の「Cloud Agents」は、以前の名前がBackground Agentsだと書いています。隔離されたクラウドの仮想マシンで動き、リポジトリのクローン、依存関係、シークレットを持ちます。自分のパソコンがインターネットにつながっている必要はない、と公式は書いています。
始め方は、cursor.com/agents、デスクトップの入力欄の下で「Cloud」を選ぶ、iOSアプリ、Slackの @cursor、GitHubなどのコメント、Linear、APIです。リポジトリを対象にエージェントを始めるには、Cursorのアカウントの管理者が先にソース管理のサービスを接続しておく必要がある、と書かれています。
有料プランが必要です。使うとき、支出の上限を決めるよう求められます。課金は、選んだモデルのAPI料金です。
安全面は、シークレットをダッシュボード（cursor.com/dashboard/cloud-agents）で管理し、外向きのドメインを制限できる、と書かれています。シークレットは起動時に入るので、動いているエージェントには新しいものが見えません。.env.local をスナップショットに含められますが、公式は「Secrets」タブを勧めています。
「Self-Hosted Machines」では、ツールの実行を自分の機材で行えます。

Automations

公式の「Automations」は、クラウドのエージェントを、スケジュール（cron式も可）や、GitHub、Slack、Webhook、Linear、Sentry、PagerDutyなどの出来事をきっかけに動かす仕組みです。cursor.com/automations、エージェントウィンドウ、/automate のSkillなどで作ります。
料金は、クラウドのエージェントの利用として数えられます。常に各モデルが対応する最大のコンテキストを使い、切り替えはありません。
公式が書いている注意は、永続する「Memories」が初期設定でオンで、信頼できない入力を扱うときは、悪意のある内容が次の実行に影響しうること、MCPサーバーをつなぐとそのツールのすべてが使えること、フォークからのPRは対応しないこと、です。
どのプランで使えるかは、Automationsのページに明記されていませんでした。プランの表では、Premium以上にAutomationsが含まれ、Plusには含まれない、とあります（記事03を参照）。

Bugbot

公式の「Bugbot」は、PRを調べてバグやセキュリティの問題を見つけ、コメントします。GitHub、GitLab、Bitbucket、Azure DevOps、Originに対応します。
動かし方は、PRの更新ごとの自動実行か、PRのコメントに cursor review または bugbot run と書く手動です。
課金は使った分で、2026年5月の価格改定のあとの方式だと書かれています。チームは前払いクレジット（旧Teamsはオンデマンド）から払います。
ルールは .cursor/BUGBOT.md に書きます。Cursor本体の .mdc のルールはBugbotには効かない、と書かれています。設定ファイル .cursor/config/bugbot.yaml は、PRのベースのブランチから読まれるので、PRの中で自分のレビュー設定を書き換えられません。
「Autofix」は、Cloud Agentを起こして修正を提案します。モードは「Off」、「Create New Branch」（推奨）、「Commit to Existing Branch」で、使うには追加の使用量と、データを保存する設定が要ります。
.env や *.pem のような、認証情報らしいファイルの中身は読まない、と書かれています。

CLI：ターミナルから

公式の「CLI」は、コマンド名を agent としています。入れ方は、macOS、Linux、WSLが curl https://cursor.com/install -fsS | bash、Windows（PowerShell）が irm 'https://cursor.com/install?win32=true' | iex です。agent --version で確かめ、PATHに ~/.local/bin を足します。自動更新され、手動は agent update です。
モードはAgent（既定）、Plan、Askで、Shift+Tab、/plan、/ask、--mode で切り替えます。
mcp.json と、.cursor/rules、プロジェクト直下の AGENTS.md と CLAUDE.md が読まれます。
& を先頭に付けた発言は、Cloud Agentに引き継がれます。-w（--worktree）で新しいワークツリーで動かせます。
端末のコマンドは、1件ずつ承認（y）か拒否（n）します。/sandbox か --sandbox <enabled|disabled> でサンドボックスを切り替えます。sudoのパスワードは、AIのモデルには見えない形で入力される、と書かれています。
画面なしの使い方は -p（--print）です。--force（--yolo も同じ）を付けないと、変更は提案だけで、ファイルは書かれません。付けると確認なしで直接書き換えます。公式の画面なしのページに、セキュリティの注意書きの節は、読んだ範囲ではありませんでした。出力は --output-format で text、json、stream-json を選びます。認証は環境変数 CURSOR_API_KEY です。
通常の画面でのログインの手順は、インストールのページには書かれていませんでした。

SDK

公式の「TypeScript SDK」は、npm install @cursor/sdk（Node.js 22.13以上）で、Cursorのエージェントを自分のコードから呼べるとしています。手元で動かす「local」と、Cursorの仮想マシンで動かす「cloud」を選べ、認証は CURSOR_API_KEY かコード内の apiKey です。費用は、IDEやCloud Agentと同じ料金と使用量の枠に従い、チームの使用量画面でSDKのタグが付きます。

僕らの見立て：どこから足すか

ここからは僕らの見立てで、公式の推奨そのものではありません。

まずは AGENTS.md か .cursor/rules に、毎回言い直していることを短く書く。
手順がまとまってきたらSkillに切り出す。
外のサービスをつなぐ前に、出どころを確かめ、権限を絞ったキーを環境変数で渡す。
「絶対に止めたい」ことが出てきたら、HooksをfailClosed: trueで検討する。
Cloud AgentsやAutomationsは、支出の上限を決めてから試す。

気をつけること

この記事は、実際に使って確かめた記録ではありません。運営者はCursorを入れていますが、使い心地はこの記事には書いていません。公式ドキュメントを読んだ範囲です。
取得したのは、ページの要約です。Hooksのページは、後半の約2万4千字を読めていません。SDKのページも、末尾の約1万6千字を読めていません。
読めなかったページがあります。エージェントウィンドウ（/docs/agent/agents-window）は取得できず、内容を書いていません。「Grok Bot」「Origin」「Security Agents」「PR Routing & Approval」「Rollouts」「Projects」も、この記事では読んでいません。
ベータや実験的という区別は、読んだ範囲のページには書かれていませんでした。ただし、リリースノートは、Projectsがベータであり、Cloud Agentの環境APIがベータであると書いています。使う前に最新の表示を確かめてください。
料金は、プランによって、また2026年10月12日前後の変更の前後で、見え方が変わります。記事03を参照してください。
日々更新される機能です。名前や挙動は変わることがあります。
この記事は、セキュリティの助言ではありません。会社のパソコンでは、管理者の設定が優先されることがあります。