连接私有网络

Grok Bot 的电脑运行在 Cursor 云上，通过共享的固定出口 IP 上网。如果 Bot 需要访问的内部 API、代码库、数据库或测试环境在私有网络里，可以用本页的方法接入。团队设置（Team Setup）和网络管控都只在企业版提供。

能做什么

• 把某个成员的流量经他的桌面电脑转发，让 Bot 访问那台设备能访问的服务；
• 通过管理员维护的一份清单，在每台团队电脑上自动安装你的组网客户端；
• 不把内部服务暴露到公网、也不用把共享出口 IP 加白名单；控制权留在你这边，随时可以在自己的管理后台吊销某台电脑。

选择连接方式

• 经成员桌面转发：在桌面版 设置 → 电脑 → 网络 打开「通过这台电脑转发流量」，使用当前设备的网络和 IP，关闭设置后停止；企业管理员可以为全团队禁用此选项；
• 用 Team Setup 安装组网客户端：这是你自己运维的模式，Cursor 只提供「在每台团队电脑上跑你的安装脚本」这个钩子。

开始之前

• 你是企业版的团队管理员；客户端能在 Debian 系 Linux 上用 shell 脚本安装启动（脚本以电脑用户身份运行，可用 sudo）；
• 你的网络里有对应的入口（网关、出口节点或隧道连接器）；想好电脑如何认证，凭据不要写进脚本，需要时存为团队密钥（Team Secret）。

Team Setup 如何运行脚本

• 清单里每条有 ID、安装脚本和可选的检查脚本；电脑启动时运行，运行期间大约每天刷新一次；
• 检查脚本返回 0 就跳过安装；按顺序逐条执行，每条 30 分钟超时，失败不会阻止电脑启动，下次刷新重试；
• 脚本以环境变量读取团队密钥，密钥只在运行期间存在，输出写日志前会脱敏。

创建清单与配置客户端

• 在 Cursor 后台的 Grok Bot 页面打开 Team Setup 新建清单；
• Tailscale：每台电脑跑 Tailscale，通过你网络里的出口节点转发，这是验证最多的方案；
• Cloudflare Tunnel：网络里的 cloudflared 连接器通过 Cloudflare 发布私有服务，同样的机制也适用。

推广、网络策略与限制

• 新电脑启动时应用清单，已运行的电脑约每天刷新，想立刻生效可重建电脑；
• Grok Bot 的网络策略是独立的一层，如果只允许白名单目标，要把客户端需要的地址加进去；
• 这是你自己运维的模式，Cursor 不负责安装、运维或监控你的组网客户端。

常见问题

• 凭据不能写进脚本正文，要存为团队密钥；任何能在 Debian 系 Linux 上用脚本安装的客户端都可以；
• 经你网络转发的流量，对方看到的是你网络内部的来源地址；这与 Cloud Agents 文档里的 Tailscale/Cloudflare 配方不是一回事；脚本失败时电脑仍会启动，之后重试。