Cursor 的代码托管平台 Origin 开了应用市场：20+ 集成，工具团队可公开上架

先划一条界：本站 cycle47（10 月 6 日）已经发过《Agent 跑在电脑上，监工装进口袋里：Cursor 上线手机遥控本地 Agent》（cursor-remote-control-local-agents-october-2026），讲的是 iOS 应用远程查看本地 agent，是另一个功能；Origin 这个代码托管平台本身（今年 8 月推出）在本站还从未单独发布过。本篇不补写 Origin 的发布，只写 10 月 13 日这个新事件：Origin 的应用市场开张了。

2026 年 10 月 13 日，Cursor 在官方 changelog 上线了一条新条目：Origin App Marketplace。一句话概括：Origin——这个为 agent 时代设计的代码托管平台——现在有了一个应用市场。首批 21 个集成，覆盖部署、CI、代码评审、安全、监控、项目管理六条线；更关键的是，这个市场从今天起向所有开发者工具团队开放公开上架。

这不是一次普通的"又多了几个集成"的更新。8 月 Origin 发布时只带了 Vercel、Depot、Buildkite 三家首发集成，两个月后变成 21 家，还附带一套完整的第三方上架机制。Cursor 显然在下一盘更大的棋。

这次到底发了什么：21 个集成，六条线

官方口径是"over 20"（超过 20 个），changelog 里具名列出的正好 21 家，按类别分：

• 部署（5）：Cloudflare、Netlify、Render、Spacelift、Vercel
• CI（7）：Buildkite、CircleCI、CloudBees、Depot、EngFlow、Namespace、RWX
• 代码评审（3）：CodeRabbit、Greptile、Tenki
• 安全（4）：Artemis Security、Semgrep、Socket Security、Upwind
• 监控（1）：Sentry
• 项目管理（1）：Linear

这个名单值得细看。CI 一栏 7 家是数量最多的，说明 Cursor 很清楚：agent 产出的代码洪流，第一道关就是持续集成。其次是部署 5 家和安全 4 家——agent 写的代码又多又快，部署流水线和安全扫描必须跟上，否则仓库很快变成无人敢合的垃圾场。代码评审 3 家里 CodeRabbit 和 Greptile 都是当下最火的 AI 评审工具，等于把"AI 写、AI 审"的闭环直接装进了托管平台。

Cursor 官方产品截图：深色主题编辑器界面与 AI agent 面板

监控只有 Sentry 一家、项目管理只有 Linear 一家，说明这两条线目前还是"占位"状态，生态远未填满——这恰恰是开放上架要解决的问题。名单里缺席的名字同样有信息量：没有 Datadog，没有 GitHub Actions 原生支持（只有通过 Depot/Buildkite 的兼容层），没有 Jira。Cursor 显然是先拉来愿意第一时间站队的伙伴，而不是一次性谈下全行业。

上架流程：抄的是 GitHub Apps 的作业

这次更新真正的干货不是 21 个集成，而是那套公开上架机制。流程分四步：

• 1. 在自己的 namespace 里创建应用。开发期间应用只对本 namespace 私有可见，相当于一个沙盒。
• 2. 基于 Origin API 开发。鉴权用 app JWT 加 installation access tokens，应用接收 webhook 事件，可以往回写 check runs、PR 评论和评审（reviews）。
• 3. 公开并提交。在应用页面提交 slug、建议标签和一段 demo 视频——视频必须展示安装、卸载和核心产品流程，缺一不可。
• 4. 官方审核，通过后上架。Cursor 团队人工审核，过了才会在市场里被搜到。

Cursor 官方产品截图：深色主题编辑器界面与 AI agent 面板

熟悉 GitHub 生态的人会发现，这套机制几乎是把 GitHub Apps 的模型搬了过来：namespace 私有开发对应 GitHub App 的草稿态，app JWT + installation token 的双层鉴权就是 GitHub Apps 的标准鉴权，webhook + 写回 check runs / PR 评论更是 GitHub 平台能力的翻版。抄作业不丢人——GitHub Marketplace 用十几年验证了这套模型跑得通，而 Cursor 需要的是以最快速度让开发者工具厂商"无痛移植"。

有个细节很说明问题：demo 视频被要求必须展示"安装、卸载和核心流程"。把卸载放进强制展示清单，是应用市场防腐的经典手段——只管进不管出的市场最后都会变成僵尸应用坟场。Cursor 在第一天就立了这条规矩，说明它对生态质量是有预期的，不是先求数量。

另外，changelog 里还顺带提了一句：有个 Origin Apps 插件，可以基于实时 Origin API 文档回答问题，还能帮你把已经在跑的应用规划"移植"到 Origin。Cursor 在降低移植成本这件事上是下了功夫的——它知道，工具厂商的时间是最稀缺的，谁先把移植做成"一下午的事"，谁就先拿到生态。

首批生态实例：Socket 和 Upwind 已经在了

市场开张的同时，已经有安全厂商第一时间上架。两个实例都来自厂商官方渠道，发布时间和 changelog 当天衔接：

• Socket for Origin（Socket 官方博客，2026-10-14）：做 PR 里的依赖安全扫描。PR 打开或新提交推送时，扫描 manifest 和 lockfile 的依赖变更；结果通过两个通道回到 Origin——一是策略检查（"Socket Security / Dependency scan" check，显示进度、按团队策略给结论、可直接在 Origin 里重跑），二是在 PR 下发评论，带依赖概览、评分、严重级别和完整报告链接，PR 变化后评论会自动更新。评审人不用离开 PR 就能看到依赖风险。
• Upwind（Upwind 官方 feed，2026-10-13）：把云安全扫描能力接进 Origin，口号是"securing software factories"（为软件工厂保驾护航）。它的卖点很对 agent 时代的胃口：不管 PR 多大、是谁（或是什么）写的，每次都跑同样的检查，安全覆盖跟着 agent 的产出规模走，而不是跟着评审的人头数走。

两家都是安全厂商先行，这不是巧合。agent 生成代码的速度已经让"人肉安全评审"彻底跟不上了，安全工具必须长在代码托管平台里面，而不是作为一个外部环节存在。Socket 的双通道设计（check + PR 评论）也值得注意：它没有发明新的交互，而是把自己塞进了开发者已经在看的两个地方——PR 时间线和检查列表。好的平台集成都是这样：不教育用户，只出现在用户本来就要看的地方。

背景：两个月，从 3 家到 21 家

把时间线拉直，这次更新的位置就清楚了：

• 2026-08-17：Origin 发布。定位是"为 agent 规模设计的代码托管"（designed for agent scale），功能是代码仓库、PR、代码浏览加 GitHub 同步。Origin 托管的仓库以 Origin 为唯一事实来源；从 GitHub 同步过来的仓库，GitHub 依然是事实来源，Origin 做镜像，PR 双向同步。
• 8 月同期：首发 3 家集成。Vercel、Depot、Buildkite。Vercel 负责每个 PR 的预览部署，Depot 和 Buildkite 负责 CI——关键是，这两家可以直接跑你现有的 GitHub Actions workflow，不用重写。这是典型的兼容层策略：先让迁移成本归零，再谈生态。
• 2026-10-06：本地 agent 的 iOS 远程控制。手机上看本地跑着的 agent，给它发消息。本站 cycle47 已经单独发布过。
• 2026-10-13：应用市场开张。也就是今天这篇。

四步连起来看，Cursor 的战略收拢得很明显：代码在哪，agent 就在哪，agent 的工具链也必须在哪。10 月 6 日是把"人"和本地 agent 连起来（手机遥控），10 月 13 日是把"工具链"和代码托管连起来（应用市场）。代码、agent、infra 正在被收拢到同一个平面上。

判断：forge 大战进入生态战阶段

以下进入判断区，事实和观点分开标。

判断一：Cursor 在复刻 GitHub Marketplace 的生态护城河。代码托管（forge）这个品类，GitHub 赢了十几年，靠的从来不只是 git 功能，而是 Actions + Marketplace + Apps 构成的生态护城河。Origin 用了两个月走完 GitHub 用十年验证的路：先有托管，再有集成，最后开放上架。这不是巧合，是照着答案抄。区别在于，GitHub 的生态是为"人"写的代码服务的，Origin 的生态是为"agent"写的代码服务的——CI、安全、部署这些环节，在 agent 时代不是锦上添花，是不装就转不动的刚需。

判断二：这和"评审瓶颈"、"infra 瓶颈论"形成了一个闭环。本站之前发过两篇可以互链的文章：哈佛 Jellyfish 那篇讲 AI 让代码产出暴涨、人类评审成为瓶颈；Anthropic 自研 Scion 那篇讲 agent 时代源码托管 infra 本身成为瓶颈。三篇连起来是一个完整的逻辑链：agent 日产代码洪流 → 人审不过来 → 托管平台旁边的 CI/安全/部署 infra 必须自动化、必须长在代码旁边。Origin 应用市场就是这个逻辑链上的"长出来"的那一步：它不是在卖集成，它在卖"代码洪流旁边的基础设施位"。

判断三：对 vibe 开发者，选代码托管的标准变了。以前选 GitHub / GitLab / 自建，看的是 git 功能、权限模型、价格。现在如果你的代码主要是 agent 写的，真正该问的是：这个托管平台旁边，有没有我需要的 agent 生态？CI 能不能直接跑我的 workflow？安全扫描是不是 PR 级自动的？部署是不是合了就发？Origin 这 21 家集成就是 Cursor 给出的第一份答卷——它不一定是最全的，但它证明了 Cursor 理解这道题。

判断四：审核制 + demo 视频，是 Cursor 的生态质量赌注。开放上架最怕的是劣币驱逐良币：市场里塞满半成品应用，开发者搜一次失望一次，就再也不来了。Cursor 要求 demo 视频必须展示安装、卸载和核心流程，等于把"能不能用"的举证责任推给了上架方。这个设计很老派，但有效——GitHub Marketplace 早年就是吃了不审核的亏。

还有什么没说

还有一个值得注意的节奏：10 月 6 日的 iOS 远程控制和 10 月 13 日的应用市场，前后只隔了 7 天。Cursor 现在基本上保持着一周一个有分量更新的发布密度。这种密度本身也是信号——agent 编程工具的竞争已经进入"周级"迭代，谁慢一周，谁的生态位就可能被对手先占一块。应用市场这种"让别人帮你填生态"的打法，恰恰是把迭代压力分散出去的高明做法：Cursor 自己不需要每周谈下三家集成，它只需要把上架通道修好。

changelog 没提的，值得留个问号：上架要不要收费、分成比例多少、企业版有没有独立的市场策略，这些都没说。一个应用市场的成败，一半在技术机制，一半在商业条款——后者 Cursor 还没亮牌。另外，21 家里国际大厂（Cloudflare、Vercel、Sentry、Linear、CircleCI）占了显眼位置，独立开发者工具的身影还很少，开放上架之后这个比例会不会变，是下一轮值得盯的指标。监控和项目管理目前各只有一家"占位"，下一批填进来的会是 Datadog、Jira 这些大块头，还是某个 agent 原生的新玩家？这个答案会决定 Origin 生态到底是"传统 DevOps 工具的又一个分发渠道"，还是"agent 时代新工具的第一出生地"——两者对 vibe 开发者的意义完全不同。

相关阅读：本站 cycle47 的 Cursor iOS 远程控制本地 agent（同一战略线的另一半）；哈佛 Jellyfish：AI 代码洪流与评审瓶颈；Anthropic 自研 Scion：agent 时代的源码托管 infra 瓶颈论。

一句话总结：Origin 应用市场开张，标志着 agent 时代的"forge 大战"从功能竞争进入生态竞争。代码托管的胜负手，不再是谁的 diff 界面更好看，而是谁旁边的 agent 工具链更全。