CursorとAI・外部のツールのつなぎ方：モデル、MCP、プラグイン、Slack、SDK、CLIを、公式が運営するものと第三者のものに分けて、データの流れ先まで確かめる

この記事は、公式の資料を2026年10月23日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。運営者はCursorを入れていますが、使い心地はこの記事には書いていません。設定ファイルの名前、コマンド、メニュー名は公式の表記を写しています。公式ページは要約の形で取得したため、読み切れていない所は「確認できていない」と書いています。

先に結論

• つなぎ方は大きく4つ。 ①AIモデルの選択、②MCPとプラグイン（外のツールをCursorに入れる）、③ほかのアプリからCursorを呼ぶ（Slack、GitHubなど、SDK、CLI）、④クラウドで動かす（Cloud Agents）。
• 公式が運営するものは、Cursor本体、CLI、Cloud Agents、Cursor for Slack、SDK、公式のマーケットプレイスです。第三者のものは、モデルの提供元（OpenAIなど）、各社が作るMCPサーバー、コミュニティが集めるMCPサーバーの一覧です。
• データの行き先は、つなぐものごとに違う。 モデルの提供元、MCPサーバーの先、Cloud Agents のクラウドのVM、Slackのワークスペースなど、行き先が増えるほど、確かめる点も増えます。
• 公式は、MCPを「あなたの代わりに外部のサービスに触り、コードを実行できるもの」と位置づけて警告しています。 信頼できる出どころのものだけ入れる、権限を確かめる、制限つきのAPIキーを使う、が公式の注意です。

前提：用語をそろえる

• MCP（Model Context Protocol）：AIのツールが、外部のツールやデータにつなぐための共通の取り決めです。公式は、Cursor が外部のツールやデータに接続できるようにするもの、と説明しています。
• MCPサーバー：つなぐ先のツールの側で動く窓口のプログラムです。公式は、標準出力に書ける言語か、HTTPの窓口を出せる言語なら何でも書ける、と説明しています。
• プラグイン（Plugin）：ルール、スキル、エージェント、コマンド、MCPサーバー、フックを1つにまとめた配布の単位です。
• BYOK（Bring Your Own Key）：自分が契約したモデルのAPIキーを持ち込む使い方です。
• API／SDK：ほかのプログラムからCursorのエージェントを呼ぶための窓口と、その部品です。
• OAuth：パスワードを渡さずに、サービスへのアクセスを許可する仕組みです。

たとえ話：工房の外とつなぐ、3つの線

Cursor を工房にたとえると、モデルは「頭脳を貸してくれる外部の先生」、MCPは「外の倉庫や事務所につながる電話線」、プラグインは「ほかの工房が作ったツール箱」です。先生にも、電話線の先にも、こちらの資料の一部が渡ります。だからこそ、誰に何を渡すかを先に決めておきます。これは僕らのたとえで、公式の表現ではありません。

つなぎ方1：AIモデルを選ぶ（公式のモデル表）

公式の「Models & Pricing」のページは、モデルを提供元ごとに並べています（確認日2026-10-23。名前は公式の表記のまま）。

• 使われ方の違い。 モデル表の提供元が「Cursor」のもの（Grok と Composer）は、プランの週ごとの利用枠から使われます。第三者のモデルは枠に含まれず、Premium 以上で、各社のAPI料金のまま、前払いのクレジットから支払います（04で扱います）。
• Auto。 「Cost」「Balance」「Intelligence」の3つのモードがあります。Balance と Intelligence は、TeamsとEnterpriseで「Cursor Router」を有効にしたときだけで、個人のプランは Cost だけ、と書かれています。
• Max Mode。 旧来の「リクエスト制」のプランだけで使え、モデルのAPI料金に20%を足した額になる、と書かれています。
• BYOK。 Plus には自分のAPIキーを使う機能は含まれない、と書かれています。TeamsとEnterpriseでは、BYOKの利用に「Cursor Token Rate」が上乗せされます。設定のしかたは、公式ヘルプ「API keys」に書かれています。「Cursor Settings」の「Models」を開き、提供元を選び、キーを貼り付けて保存する、という手順です。対象の提供元は OpenAI、Anthropic、Google、Azure OpenAI、AWS Bedrock で、自分のキーは「チャットのモデルだけ」に使え、Tab は Cursor の内蔵モデルを使うと書かれています。個人プラン（Premium、Super、Ultra と、旧 Pro、Pro+、Ultra）では、モデル代は提供元に請求され、含まれる利用枠や前払いクレジットは減りません。TeamsとEnterpriseでは、対象になる第三者モデルのリクエスト（自分のキーのリクエストを含む）に、百万トークンあたり $0.25 の Cursor Token Rate がかかります。Free で使えるかは、このページに記載がありません。また、Cursor のゼロデータ保持は自分のキーのリクエストには当たらず、データは提供元のプライバシーポリシーに従う、と書かれています。
• データの行き先。 公式の「Privacy and Data Governance」は、プロンプトとコードの文脈が、OpenAI、Anthropic、Google などのモデル提供元に送られ、Cursor の独自モデルは推論の提供元が処理することもある、と書いています。APIキーを使った場合も、リクエストはCursorのバックエンドを通り、最終的なプロンプトはそこで組み立てられる、と「Data Use & Privacy Overview」に書かれています。

つなぎ方2：MCPで外のツールを入れる

公式の「MCP」のページから、要点を整理します。

接続の方式（トランスポート）。

トランスポートは、CursorとMCPサーバーがやりとりする方法の名前です。stdio は、手元でプログラムを起動して使う方式、SSE と Streamable HTTP は、URLに接続して使う方式、と下の表から読めます。

設定の置き場所。 プロジェクトは .cursor/mcp.json、全体は ~/.cursor/mcp.json です。stdio では command、args、env などを、遠隔では url、headers、必要なら auth（OAuthのクライアントIDなど）を書きます。値には ${env:NAME} のような環境変数の差し込みが使えます。

入れ方。

• 公式のマーケットプレイスのプラグインを「Customize」から入れる。または、マーケットプレイスの項目の「Add to Cursor」を押して、OAuthで認証する。
• コミュニティのサーバーは、cursor.directory で探せる、と書かれています。
• 拡張機能のAPI（vscode.cursor.mcp.registerServer()）で、プログラムから登録できる。
• Teams の管理者は、チームのマーケットプレイスでサーバーを配れる。

OAuth。 サインインは、PKCE付きの認可コードの流れ（OAuthの標準的なサインインの手順の名前で、ふつうは意識しなくてかまいません）を使います。手動で登録する戻り先のURLとして、公式は、WebとCursor Agents用に https://www.cursor.com/agents/mcp/oauth/callback、デスクトップ用に http://localhost:8787/callback を示しています。

承認。 既定では、MCPのツールを使う前に承認を求めます。ツールを開くと、渡す引数を見られます。MCPのツールも、ターミナルのコマンドと同じ Run Modes に従います（02参照）。

管理者向け。 Teams と Enterprise では、「Dashboard」→「Plugins & MCPs」でチーム全体にMCPを配れます。「Team Settings」→「MCP Configuration」の「MCP Allowlist」で、コマンド、URL、ツールの許可を決められます。許可リストは「構成を承認する」ものであって、入れる操作ではない、と書かれています。

公式の安全の注意。 信頼できる出どころのものだけ入れる、権限を確かめる、制限つきのAPIキーを使う、重要な連携ではコードを監査する、などです。MCPサーバーは、外のサービスに触れ、あなたの代わりにコードを実行できる、とも書かれています。

うまくいかないとき。 出力パネルの「MCP Logs」を見る、と書かれています。Cloud Agents のサインインは、手元のサインインとは別で、「Customize」からサインアウトする、とも書かれています。

つなぎ方3：プラグインとマーケットプレイス

公式の「Plugins」のページによると、プラグインには、Rules（.mdc）、Skills、Agents、Commands、MCP Servers、Hooks を入れられます。形式は2つで、ルートに plugin.json を置く「Agent Plugins」（スキルとMCPサーバーを梱包）と、.cursor-plugin/plugin.json を使う「Cursor Plugins」（ルール、エージェント、コマンド、フックも足せる）です。

• 入れ方。 サイドバーの「Customize」で探し、「Install」を押して、プロジェクトかユーザーの範囲を選びます。
• 公式と第三者の分け目。 公式のマーケットプレイスの項目は、Git のリポジトリとして Cursor のチームを通して提出され、載せる前に審査されます。公式は「Every plugin is manually reviewed before it's listed」と書き、プラグインはオープンソースであること、更新のたびに審査されること、も書いています。作るのは外部の開発者（第三者）で、載せるかどうかを審査するのがCursorです。
• 自作。 開発者は ~/.cursor/plugins/local で試し、cursor.com/marketplace/publish から提出できます。
• チームのマーケットプレイス。 TeamsとEnterpriseで使えます。管理者が、インストールの扱いを「Default Off」「Default On」「Required」から選べます。GitHub、GitLab、Bitbucket、Azure DevOps から取り込めます。
• 注意。 Enterprise では、ローカルのプラグインの取り込みは既定で無効（「Allow Local Plugin Imports」で制御）と書かれています。連携したMCPのプラグインを外したり、マーケットプレイスを消したりすると、チームのMCPサーバーが全員から消えることがある、とも書かれています。

つなぎ方4：Cursor から外のサービスを呼ぶ／外から Cursor を呼ぶ

Cursor for Slack のデータの流れ。 公式は、Slackのスレッドのメッセージ、ログやスクリーンショットのためのファイル、チャンネルとDMのメタデータを読み、Slackのユーザーを Cursor のアカウントと照らし合わせる、と書いています。進捗や完了、PRのリンクを投稿し、変更の視覚的な要約を載せることもあります。権限の表には18個のスコープが並び、channels:history、files:read、files:write などを含みます（個数は表を数えたもので、本文に総数の記載はありません）。要約や差分の画像には、ファイルのパスやコードの断片が含まれることがあり、表示は切り替えられます。プライバシーモードに対応し、旧「Privacy Mode (Legacy)」には対応しません。Cloud Agents が実行中にコードを一時的に保存するため、と書かれています。

SDKの実行場所。 公式は、SDKの「local」は、エージェントの動きとファイルがあなたのNodeのプロセスで動くことを指し、モデルが動く場所のことではない、「どちらの方式でもCursorがホストするモデルを使う」と書いています。SDKの実行は、IDEやCloud Agentsと同じ料金、同じ利用枠、同じプライバシーモードの規則に従う、とも書かれています。

Cloud Agents のデータ。 公式のセキュリティの資料は、各エージェントが専用のVMで動き、認可されたリポジトリをVMにクローンし、VMのスナップショット（暗号化されたディスクのコピー）は、使われないまま30日たつと期限が切れる、と書いています。シークレットは暗号化され、実行時に環境変数として渡されます。「Runtime Secret」に指定した値は、トランスクリプト、ツールの出力、コミット、モデルに出ない、と書かれています。インターネットへのアクセスは既定で有効で、許可するドメインに絞る設定もあります。公式は、Cloud Agents がターミナルのコマンドを自動で走らせるため、プロンプトインジェクションと情報の持ち出しのリスクが上がる、と書いています。

公式が運営するものと、第三者のもの

データはどこへ流れるか

• モデルの提供元。 プロンプトとコードの文脈が、選んだモデルの提供元へ送られます。プライバシーモードが有効なら、提供元とのゼロデータ保持の契約のもとで扱われる、と公式は書いています（04で扱います）。
• MCPサーバーの先。 MCPのツールの引数と結果が、そのサーバーを動かす先に渡ります。遠隔のMCPサーバーなら、その運営者の側へ出ます。公式の注意は、出どころを信頼できるものに限る、というものです。
• Cloud Agents。 リポジトリの暗号化されたコピーが、クラウドのVMに一時的に置かれます。
• Slack。 上で書いたスレッドの内容が読まれます。
• データの所在地。 公式の「Privacy and Data Governance」は、米国内に限るデータの所在地（US-only data residency）を、Enterpriseの対象のチームで選べると書いています。ただし、SSO、BYOK、独自モデル、MCPと外部のコネクタ、Bugbot、共有リンクなどは、地域内に収まることを保証できない、と書かれています。

取り込みと書き出し

• VS Code から。 「Cursor Settings」の「General」→「Account」の「VS Code Import」で、拡張機能、テーマ、設定、キーバインドを取り込めます（02参照）。
• 書き出し。 Cursor の会話の履歴などを書き出す公式の機能は、読んだ範囲では見つかりませんでした。確認できていません（04参照）。

気をつけること

• この記事は、実際に使って確かめた記録ではありません。運営者はCursorを入れていますが、使い心地はこの記事には書いていません。公式のドキュメントを要約の形で読んだ範囲です。
• フック（hooks）、API全体のページ、Bugbot、Grok Bot は、読めていません。Python SDK とモバイルは、要点だけ読みました。
• MCPサーバーやプラグインは、あなたの代わりに外のサービスに触れ、コードを実行できます。公式の注意に沿って、出どころ、権限、鍵の扱いを確かめてください。
• SlackやGitHubとつなぐと、そのサービスの中の情報がCursorに渡ります。仕事の情報を扱う場合は、組織の規則や管理者に確認してください。
• 契約やデータの扱いの解釈は、必要なら専門家や公式に確認してください。この記事は法律の助言ではありません。

出典

• Models & Pricing（Cursor Docs、確認日 2026-10-23）
• Model Context Protocol（MCP）（Cursor Docs、確認日 2026-10-23）
• Plugins（Cursor Docs、確認日 2026-10-23）
• Cloud Agents（Cursor Docs、確認日 2026-10-23）
• Security overview（Cloud Agents、Cursor Docs、確認日 2026-10-23）
• Cursor for Slack（Cursor Docs、確認日 2026-10-23）
• Cursor TypeScript SDK（Cursor Docs、確認日 2026-10-23）
• CLI overview（Cursor Docs、確認日 2026-10-23）
• Privacy and Data Governance（Cursor Docs、確認日 2026-10-23）
• Data Use & Privacy Overview（Cursor、2026-09-03更新、確認日 2026-10-23）
• Importing from VS Code（Cursor Docs、確認日 2026-10-23）