Cursor 的 agent 开始点你的桌面了：本地 Computer Use 上线，但屏幕就是新的提示词输入框

Cursor 在 10 月 23 日把一件以前只属于云端 agent 的能力，搬到了你每天写代码的那台电脑上：它的 agent 现在可以直接点击、输入并截取你桌面上的应用界面，最典型的演示就是让 agent 自己打开 iOS 模拟器，把刚写好的注册流程从头点一遍。这件事的新闻价值不在于“又多了一个演示”，而在于权限边界换了地方：云端 agent 点的是用完即焚的一次性虚拟机，本地 agent 点的却是你本人正在用的会话——邮箱、密码管理器、已登录的浏览器都在同一块屏幕上。

10 月 23 日到底发了什么

按 Cursor 当日在 X 上的公告与随后几家独立报道的交叉核对，这次上线的功能叫 Computer Use，调用方式有两种：在 agent 对话里输入 @ 并选择 Computer Use，或者让 agent 在“任务需要时”自行决定使用它。演示视频只有 21 秒：用户让运行在“This Mac”上的 agent 给一个徒步应用加上收藏路线功能，agent 改完代码，启动 iPhone 模拟器，在模拟器里一路点下去，屏幕上方飘着一条“Cursor is using Simulator”的横幅。值得注意的细节是，Cursor 这次没有同时宣布价格变动——按 AlphaSignal 的说法，这是一次不附带定价调整的功能更新，现有订阅用户更新桌面应用即可获得。

这个时间点也值得标注：就在 10 月 6 日，Cursor 论坛里还有官方人员回复说本地桌面控制“仍在探索，无法分享时间表”。从“无法分享时间表”到 17 天后上线，中间没有经过一次公开 beta 说明。换句话说，这不是一个经过长期公开讨论后落地的能力，而是一次突然的可用性跨越。对使用者来说，正确的态度不是惊讶，而是先把权限模型搞清楚再动手。

为什么“本地”两个字改变了全部风险计算

在云端，Computer Use 的运行环境是 Cursor 文档自己描述的隔离虚拟机：每个云端 agent 运行在自己的 VM 里，用鼠标键盘控制桌面和浏览器，任务结束，环境销毁，残留面随之消失。自托管 worker 也类似：它运行在你专门准备的 Mac 或 Linux 机器上，虽然是实体机，但那台机器的用途就是跑 agent。

本地 IDE 路径完全不同。agent 运行在你的主力机上，用的就是你登录的图形会话。它的眼睛是截图：屏幕上出现什么，什么就可能成为模型输入。这一点不是危言耸听，而是这个能力的工作原理决定的——agent 要“看见”界面才能决定下一步点哪里。所以任何在测试期间弹出来的东西——邮件预览、聊天通知、密码管理器解锁后的条目、银行标签页——在技术上都处在可被截图的范围内。你可以说“测试时我会关掉它们”，但这恰恰说明：安全责任从平台转移到了你的操作习惯上。

还有一个容易被忽略的区分：AlphaSignal 特别提醒，“local”在这里指的是“被控制的机器是本地机器”，并不意味着模型在本地运行。推理仍然走云端，截图要发出去才能变成下一步动作。把“本地 agent”等同于“数据不出本机”，是这轮最常见的误读。

两个权限，只给一个 helper：最容易踩错的坑

按 Cursor 自托管文档与第三方实测指南的说法，在 macOS 上 Computer Use 需要两项系统权限：辅助功能（Accessibility，负责与应用交互）和屏幕录制（Screen Recording，负责截取界面）。关键在于，这两项权限必须授予一个名叫 Cursor Computer Use 的 helper 应用，而不是 Cursor 本体、终端或 iTerm。文档原话说得很直白：把权限给终端、iTerm、agent、Cursor 或 Cursor Agent Helper，对 computer use 毫无作用。

这个 helper 安装在 ~/.cursor/cursor-computer-use/Cursor Computer Use.app，Bundle ID 是 co.anysphere.cursor-computer-use。权限跟着代码签名身份走，所以不要复制、重签或自行重新编译这个 helper，否则授权会失效。自托管 worker 的启动命令是 agent worker --computer-use start，调试命令 agent worker debug 只能确认 helper 已安装，不能报告权限状态；文档给出的真正验证办法是跑一个真实任务——打开浏览器并截图，如果截图出现在对话里，授权才算生效。

对团队管理员来说，还有一层现实约束：Cursor 不提供现成的 .mobileconfig 配置文件，MDM 配置要自己写。辅助功能在多数 macOS 版本上可以静默放行，但文档警告，从 macOS 26.2 起苹果将逐步取消静默放行；屏幕录制则根本不能由配置文件直接批准，变通办法是 AllowStandardUserToSetSystemService，让标准用户无需管理员密码即可自行批准。Linux worker 则是另一套配置：驱动 X11 显示，需要自装 xdotool、ffmpeg 与 X11 工具；队友围观或接管 agent 桌面的“桌面共享”功能目前仅限 Linux，且运行在 worker 自己创建的隔离桌面上，剪贴板传输保持关闭。

先别急着点 @Computer Use：五条收敛习惯

第一，给 agent 工作单独开一个 macOS 用户。屏幕录制授权属于批准它的那个用户，worker 使用的是运行它的那个用户的登录图形会话。第二个账号能把你的个人会话挡在截图范围之外，这是成本最低的一道隔离。

第二，动手前先关掉你不愿放进提示词的东西：邮件、聊天、密码管理器、银行标签页。判断标准很简单——如果这条内容你不会亲手粘贴进提示词，就不要让它在测试期间出现在屏幕上。

第三，把任务写窄。写“启动 iOS 模拟器，打开应用，走一遍注册流程，每屏截图”比写“测试一下这个应用”更容易核查。任务越窄，agent 自行发挥的空间越小，你复核截图与代码改动的工作量也越小。

第四，用完就关。测试结束后在“系统设置 → 隐私与安全性”里取消 Cursor Computer Use 的授权，下次需要时再授予。把授权当作一次性门禁，而不是常驻通行证。

第五，照常审代码。agent 点通了一个流程，只证明这条流程在那次运行中走通了，不证明代码正确、不证明边界情况处理得当、不证明没有顺手改坏别处。点击测试是测试手段，不是正确性证明。

与已发文章的划界：这篇不是哪篇的续集

本篇与站内已发内容有三处邻近，必须划清。第一，cycle101 的 Anthropic sandbox-runtime 篇讲的是把 agent 关进隔离沙箱执行代码，那是“限制 agent 能碰什么”；本篇讲的是把 agent 放进你的真实桌面会话，那是“agent 能看见什么”，方向正好相反：一个是收紧执行环境，一个是放宽感知范围。第二，站内已发的 GitHub Copilot computer-use 篇讲的是 Copilot 一侧的桌面操作能力，厂商、调用入口、权限 helper 与文档口径均不同，本篇只写 Cursor 10 月 23 日的本地 IDE 路径，不复述 Copilot 的实现。第三，cycle99 的 OpenAI Ironclad 计算机操作基准篇讲的是用合同流任务给模型打分，那是评测；本篇讲的是一个已上线的产品功能与它的权限现实，那是使用决策。把三者混在一起写“agent 都能点鼠标了”，会掩盖真正重要的差别：谁的会话、谁的屏幕、谁负责收尾。

仍未回答的问题：发布时文档里没有的四件事

截至本文撰写时，关于 IDE 路径仍有四个问题没有公开答案：agent 在进入一个新应用前是否会先征求确认；能否把可操作范围限定在应用白名单内；截图与操作记录保留多久、存在哪里；Windows 是否支持。第三方分析指出，写作时 Cursor 官方更新日志的最新条目仍停留在 10 月 16 日，IDE 路径的权限与审批行为没有成文说明，现有文档覆盖的是自托管 worker 路径。这些空白不是用来吓阻使用的，而是用来决定使用姿势的：在答案补齐之前，默认按“无白名单、无审批承诺、无保留期承诺”来安排——用单独用户、窄任务、用完关授权。

更深一层的判断是：让 agent 点通自己的应用，是 vibe 开发工作流里迟早要补的一环。以前的做法是人肉点一遍、截图贴回去、再让 agent 改；现在 agent 可以自己走完这个循环。循环闭合后，人的工作从“执行测试”变成“设计测试任务、划定屏幕范围、复核结果”。这个转变值得欢迎，但前提是先承认屏幕就是新的提示词输入框——你放上桌面的东西，就是你交给模型的东西。

给 vibe 开发者的行动清单

• 更新 Cursor 桌面应用后，先不要在主力会话里直接试；在单独的 macOS 用户里跑第一次 Computer Use 任务。
• 核对授权对象：辅助功能与屏幕录制都给 Cursor Computer Use 这个 helper，而不是终端或编辑器本体。
• 用一次真实截图任务验证授权是否生效，而不是只看 agent worker debug 的输出。
• 把测试任务写成可核查的步骤清单：打开什么应用、走哪条流程、每屏截图、改动后 diff 复核。
• 企业环境先确认 MDM 策略：辅助功能静默放行在 macOS 26.2 起受限，屏幕录制无法由配置文件直接批准，需安排标准用户自批流程。
• 在 Cursor 补齐 IDE 路径的确认、白名单、截图保留与 Windows 支持说明前，把“无承诺”当作默认假设来安排使用姿势。

对照表：云端、自托管、本地 IDE 三条路径的权限账单

把三条路径并排比较，才能看清 10 月 23 日这次发布到底改变了什么。云端路径的执行环境是一次性虚拟机，屏幕内容是任务专用的，任务结束环境销毁，数据残留面最小；它的代价是延迟与对云端环境的依赖，以及无法直接操作你本机的应用。自托管 worker 路径运行在你专门准备的机器上，屏幕内容是你为 agent 准备的会话，隔离程度取决于那台机器的用途是否单一；它的代价是你要自己维护一台机器、配置权限、管理更新。本地 IDE 路径运行在你的主力机上，屏幕内容就是你的日常工作与生活，隔离程度完全取决于你的使用习惯；它的收益是零搭建、直接操作你正在开发的应用、测试循环最短。三条路径没有绝对优劣，只有适用场景：需要严格隔离的任务走云端，需要长期运行的任务走自托管，需要快速验证手头应用的任务才走本地 IDE。把本地 IDE 当作默认路径，是这轮发布最容易造成的误用。

这个对照表还揭示了一个更深的产品信号：Cursor 正在把“agent 能操作电脑”从一种部署选项变成一种默认能力。云端、自托管、本地三条路径齐全之后，下一步竞争点不再是“能不能点鼠标”，而是“点鼠标时有哪些护栏”——应用白名单、操作前确认、截图保留策略、操作审计日志。谁先把这四项护栏做成默认项，谁就先拿到企业与谨慎型个人用户的信任。反过来说，在护栏补齐之前抢先把本地 Computer Use 开进主力会话，等于替厂商提前承担了护栏缺失的风险。

个人用户与团队管理员的两份清单

个人用户的使用清单可以再具体一点。首先，检查你的 macOS 版本与 Cursor 版本：Computer Use 是桌面应用更新带来的能力，旧版本没有这个入口，看到“没有 Computer Use 选项”先确认更新，而不是到处找开关。其次，第一次授权时逐项核对：系统设置里出现的是 Cursor Computer Use 这个 helper 名称，而不是 Cursor 本体或其他名字；如果出现的是终端或编辑器的名字，说明你授权错了对象，立即撤销重来。再次，第一次任务选择“无害且可验证”的场景：打开计算器、记事本或模拟器里的示例应用，走一遍点击与截图，确认截图出现在对话里、操作符合预期，再进入真实项目。最后，建立“用完即关”的仪式感：把撤销授权写进任务结束清单，就像关灯一样自然。

团队管理员的清单则要面向规模。第一步是盘点：哪些人的主力机上会装新版 Cursor、哪些人会出于好奇在主力会话里试用，把“单独用户 + 窄任务 + 用完关授权”写进内部指引，而不是只发一条“新功能上线了”的通知。第二步是 MDM 策略：按文档准备辅助功能的配置文件，注意 macOS 26.2 起静默放行受限的时间表；屏幕录制无法由配置文件批准，要提前安排标准用户自批流程（AllowStandardUserToSetSystemService），避免员工在截止前夜集中求助。第三步是审计预期：明确告诉团队，当前 IDE 路径的截图保留与操作记录口径尚未公开，因此涉及客户数据、源代码之外的敏感屏幕内容时，一律走单独用户或隔离机。第四步是复核节奏：每月检查一次 Cursor 的更新日志与文档，看确认、白名单、保留期、Windows 支持四项是否补齐，补齐一项就更新一次内部指引。

如果只能记住三句话

第一句：屏幕就是提示词输入框，出现在屏幕上的东西，默认都会成为模型输入。第二句：权限只给 Cursor Computer Use 这个 helper，给错对象等于没给。第三句：本地路径是快速验证的工具，不是默认的执行环境，需要隔离的任务仍然走云端或自托管。把这三句话贴在团队频道里，比转发十篇评测都有用。

常见问题：四问四答

问：本地 Computer Use 和云端 agent 能同时开吗？答：可以，但要分清各自的屏幕。云端 agent 点的是虚拟机里的桌面，本地 agent 点的是你的真实会话，两者互不干扰，风险也不互相抵消。不要因为云端路径有隔离，就默认本地路径也有隔离。

问：Windows 现在能用吗？答：截至本文写作时，公开文档没有说明 IDE 路径的 Windows 支持情况，自托管文档覆盖的是 Mac 与 Linux worker。Windows 用户在官方说明补齐之前，不要默认自己已经获得该功能，也不要用第三方教程里的非官方方法绕过权限模型。

问：截图会被保存下来吗？答：这是目前没有公开答案的问题之一。截图必然要经过模型处理才能变成下一步动作，但保留多久、存在哪里、谁能查看，Cursor 尚未对 IDE 路径成文说明。在答案出现之前，默认按“截图可能被保留”来安排：敏感内容不要出现在测试屏幕上。

问：企业能不能直接禁用本地 Computer Use？答：企业可以通过 MDM 与组织策略管理授权对象，但屏幕录制无法由配置文件直接批准，禁用策略同样要结合用户自批流程来设计。更现实的做法是：内部指引先行，明确哪些任务允许走本地路径、哪些必须走隔离机，等厂商补齐护栏后再放宽。

一句话总结：Cursor 本地 Computer Use 的真正新意不是 agent 学会了点鼠标，而是点鼠标的地点从一次性虚拟机换成了你的日常桌面。演示很短，权限账单很长——先算清后者，再享受前者。