Cursor 推出 Self-hosted machines：云端代理开始在你的内网执行工具调用

摘要：Cursor 在 2026 年 9 月 2 日的 Changelog 发布 Self-hosted machines。官方说明，工具执行可以留在客户网络内，源代码、构建产物和密钥保留在内部机器；个人可连接一台 laptop 或 VM，团队与企业可使用可扩缩的命名 worker pools，也可以接入 AWS Lambda、Coder、Cloudflare、Daytona、Modal、Namespace、Vercel 和 E2B 等环境。Linux 与 macOS worker 在安装必要桌面软件后还支持截图、点击、输入和浏览器操作。

Cursor Cloud Agents 的 Self-hosted Machines pools 页面，展示团队 worker 池和活跃/空闲机器 — 来源：Cursor Changelog，2026-09-02；截图展示 worker pool 管理信息，不代表本组织的资源状态。

这次更新解决的不是模型上下文问题，而是企业落地 AI Coding 时的执行边界。很多团队愿意让代理生成补丁，却不愿把仓库、构建凭证和内部服务访问权交给外部执行环境。代理在内网执行可以沿用现有沙箱和数据路径；但在内网不等于自动安全，因为代理依然可能误用权限或操作桌面。

本文只聚焦 Self-hosted machines，重点看它怎样改变任务分配到交付反馈的路径，以及团队在启用前需要补上的治理。

AI Coding 交流群

如果你也在用 AI 写代码，或者正在研究 Cursor、Claude Code 这些工具，欢迎加入以下交流群。群里平时会聊一些 AI 编程的实际用法、开发工作流，还有各种新工具和新玩法。

具体发生了什么：机器成为代理工作流的一等资源

Cursor 把自托管拆成几个层次。My Machines 适合个人，把一台连接的 laptop 或 VM 作为执行目标；Team pools 面向团队或企业，用命名 worker 队列承接请求，容量随 worker 上线和断开而变化。池中的请求不再绑定特定仓库，任何可用 worker 都可能接手；空闲机器可以休眠，并在 reconnect period 内恢复。

执行环境也不要求团队从零搭建。官方列出多种可接入的 sandbox 和基础设施，意味着现有运行时、网络策略和资源配额有机会继续复用。对平台工程团队而言，价值不在于多一个远程电脑按钮，而在于把代理任务纳入已有的机器生命周期、密钥注入和审计系统。

Cursor Run on 菜单中的 Remote Machines 选项，显示可供代理使用的自托管机器 — 来源：Cursor Changelog，2026-09-02；截图展示 Remote Machines 入口和机器选择。

一个完整场景：从云端派单到内网交付

平台团队可以为需要内部依赖的服务修复问题：开发者在 Cursor 发起任务，云端记录任务和代理状态，调度器把工具调用交给 worker pool；worker 在组织网络里读取允许的仓库、运行构建和测试，产出差异、日志与测试结果，再把可审阅结果返回给开发者。开发者看到的是反馈和变更，而不是把密钥复制到公共运行环境。

编辑绘制的云端编排—组织网络执行—worker pool—结果回传路径 — 编辑绘制。它依据 Cursor Changelog 的自托管、worker pool 和结果回传描述，非产品界面截图。

如果任务需要浏览器或桌面软件，Linux/macOS worker 可以在安装必要包后提供屏幕捕获、指针输入、键盘输入和浏览器操作，Cursor 还可以显示或移交桌面控制。这扩大了代理覆盖的工作面，也扩大了权限风险，因此不能只按代码执行器配置。

为什么这一步改变了 AI Coding 的产品逻辑

过去讨论 Coding Agent，中心通常是上下文长度、补全质量或代码生成 benchmark。Self-hosted machines 把执行地点搬到了产品中心：代理价值要通过一台真实可用的机器兑现，而机器有操作系统、网络、依赖、容量和凭证。AI Coding 平台于是更像任务编排层，企业自己的基础设施成为可插拔执行层。

Team pools 还改变了资源管理粒度。按仓库固定机器容易闲置，按池调度可以共享容量；但请求可能由任意 worker 接手，环境镜像、依赖版本和权限配置必须可复现，否则弹性会变成同一任务在不同机器上得到不同结果。

编辑绘制的自托管治理清单：网络边界、容量策略、桌面控制和交付审阅仍需分别管理 — 编辑绘制。它概括官方功能的工程边界，不是 Cursor 的安全保证或性能对比。

限制、权限与人需要接管的节点

个人模式只支持一台连接机器，pool 功能面向团队或企业；GUI 自动化依赖 Linux/macOS 的桌面组件。网络内执行只改变数据和命令的路径，不会自动给代理最小权限。仓库读写、构建凭证、内部 API 和浏览器会话都应分层授权，敏感任务最好使用一次性 worker 或隔离沙箱。

人需要在任务开始前审批机器和命令，在任务进行中查看日志与桌面操作，在交付前审阅差异和测试结果。可能修改基础设施、数据库或生产配置的任务应关闭自动合并，保留回滚和强制终止通道。

结论：先把 worker 当平台产品建设

有内部代码和合规要求的团队，可以选低风险任务试用：只读分析、测试失败定位或在隔离分支生成补丁。比较公共执行环境与自托管 worker 的等待时间、成功率、环境一致性、凭证暴露面和人工接管率。若只接上一台机器却没有镜像、审计、容量和权限策略，迁移的只是风险位置；若基础能力齐全，更新才可能把云端代理变成企业可控的执行服务。