Cursor: Composer 2.5 und der neue Auto-Review Run Mode

Redaktion · 2. Juni 2026 · 6 Min. Lesezeit

Cursor hat im Mai 2026 zwei Updates ausgeliefert, die zusammengenommen die Richtung des Tools deutlich machen: Am 18. Mai erschien Composer 2.5, das hauseigene Coding-Modell, mit spürbar besserem Verhalten bei langlaufenden Aufgaben. Elf Tage später, am 29. Mai, folgte der Auto-Review Run Mode — ein Ausführungsmodus, in dem der Agent länger ohne Rückfrage arbeitet und nur noch bei unklaren Aktionen nachfragt. Beides zahlt auf dasselbe Ziel ein: Cursor will Agenten autonomer laufen lassen, ohne die Kontrolle komplett aufzugeben. Für Teams, die zwischen Cursor und Claude Code abwägen, verschiebt sich damit die Entscheidungsgrundlage.

Was sich konkret geändert hat

Composer 2.5 (18.05.2026): Cursors eigenes Modell, laut Anbieter besser bei „sustained work” auf langlaufenden Tasks und zuverlässiger im Befolgen komplexer Instruktionen. Laut Cursor 79,8 % auf SWE-Bench Multilingual — knapp hinter Opus 4.7 (80,5 %), aber zu einem Bruchteil der Kosten.
Auto-Review Run Mode (29.05.2026, Cursor 3.6): neuer Modus für Shell-, MCP- und Fetch-Tool-Calls. Allowlisted Calls laufen sofort, sandboxfähige Calls laufen in der Sandbox, alles andere geht an einen Klassifizierer-Subagenten.
Composer-2.5-Preise (Cursor-Changelog): Standard $0,50 / $2,50 pro Mio. Token (Input/Output), Fast (Default) $3,00 / $15,00 pro Mio. Token.
Teams-Update: höhere Usage-Limits, neuer Premium-Seat für Heavy-Agent-Nutzer, dollarbasierte Spend-Alerts via Slack/E-Mail.

Was vorher galt

Cursor 3 hatte am 2. April 2026 mit dem „Agents Window” den Rahmen gesetzt: eine eigene Oberfläche, um mehrere KI-Agenten parallel laufen zu lassen — lokal, in Git-Worktrees, über SSH und in der Cloud. Die Idee dahinter ist, dass Entwickler Agenten orchestrieren statt jede Zeile selbst zu schreiben. Mit Cursor 3 kam auch Composer 2 als hauseigenes Frontier-Coding-Modell.

Beim Ausführen von Tool-Calls galt bis dahin im Kern: Was nicht ausdrücklich auf der Allowlist stand, brauchte eine manuelle Freigabe. Das bremste lange Agenten-Sessions aus — bei jedem Shell-Befehl, jedem MCP-Aufruf, jedem Fetch konnte ein Bestätigungs-Prompt aufpoppen. Sicher, aber zäh. Und Composer 2 war zwar brauchbar, blieb aber bei langen, mehrstufigen Aufgaben hinter den großen Closed-Source-Modellen zurück.

Was jetzt gilt

1. Composer 2.5 schließt zu den Frontier-Modellen auf — zum Bruchteil des Preises. Cursor gibt für Composer 2.5 79,8 % auf SWE-Bench Multilingual an, weniger als einen Punkt hinter Claude Opus 4.7 (80,5 %), und auf CursorBench v3.1 mit 63,2 % sogar leicht vor Opus 4.7 bei Default-Einstellungen. Diese Benchmark-Zahlen stammen vom Anbieter und sind nicht unabhängig verifiziert. Entscheidend für die Praxis ist weniger der Punktestand als das Preis-Verhältnis: Auf der Standard-Stufe kostet Composer 2.5 $0,50 / $2,50 pro Mio. Token (Input/Output), die Fast-Variante (Default) $3,00 / $15,00 pro Mio. Token. Damit liegt das Modell auf der Standard-Stufe rund zehnfach unter den Input-Kosten von Opus 4.7. Für lange Agenten-Läufe, bei denen Token-Verbrauch der eigentliche Kostentreiber ist, ändert das die Rechnung.

2. Auto-Review lässt den Agenten länger ohne Rückfrage laufen. Der neue Modus (Cursor 3.6) prüft jeden Tool-Call in einer festen Reihenfolge: Steht er auf der Terminal- oder MCP-Allowlist, läuft er sofort. Lässt er sich sandboxen, läuft er in der Sandbox mit Netzwerk- und Dateisystem-Beschränkungen. Alles andere geht an einen Klassifizierer-Subagenten, der entscheidet, ob er den Call erlaubt, einen anderen Weg versucht oder doch nachfragt. Das gilt für Shell-, MCP- und Fetch-Tool-Calls. Konfiguriert wird der Modus unter Settings › Cursor Settings › Agents › Run Mode.

3. Teams bekommen mehr Spielraum und einen Premium-Seat. Cursor hebt die Usage-Limits der Teams-Pläne an und führt einen neuen Premium-Seat ein, der laut Anbieter die fünffache enthaltene Usage des Standard-Seats zum dreifachen Preis bietet. Dazu kommen bessere Spend-Kontrollen: Das Dashboard zeigt, wie nah ein Nutzer am Limit ist, getrennt nach „Auto + Composer” und Drittanbieter-APIs; Admins können dollarbasierte Schwellen setzen und Alerts via Slack oder E-Mail bekommen. Laut Cursor gelten die Standard-Seats bei $32 pro Seat/Monat im Jahresplan ($40 monatlich), Premium-Seats $96 ($120 monatlich); die Änderungen greifen für Neukunden sofort, für Bestandskunden ab Abrechnungszyklen ab dem 1. Juli 2026.

Einordnung

Der rote Faden dieser beiden Releases heißt: weniger Freigabe-Prompts, mehr Autonomie. Das ist die wirtschaftlich logische Antwort auf das Agents-Window-Versprechen — wer mehrere Agenten parallel laufen lassen will, kann nicht bei jedem Shell-Befehl von Hand bestätigen. Genau hier liegt aber auch das Risiko. Ein Agent, der länger ohne Rückfrage arbeitet, kann auch länger in die falsche Richtung laufen, bevor jemand eingreift.

Cursor begegnet dem mit Sandbox und Allowlist als technischen Leitplanken — und ist dabei ungewöhnlich offen über die Grenzen. In der eigenen Dokumentation beschreibt Cursor den Klassifizierer als nicht-deterministisch und ausdrücklich als „best-effort convenience, not a security boundary”. Die Warnung dazu ist deutlich: Auto-Review nicht auf Produktiv-Credentials, mutierende MCP-Server oder Umgebungen richten, in denen ein falscher Call irreversible Folgen hat. Diese Ehrlichkeit ist zu begrüßen — sie verlagert die Verantwortung aber auch zurück an die Teams. Wer den Modus produktiv einsetzt, muss seine Allowlist und Sandbox-Grenzen selbst sauber ziehen.

Im Vergleich zu Claude Code wird damit eine Linie sichtbar: Beide Welten bewegen sich Richtung autonomerer Agenten, lösen die Kontrollfrage aber unterschiedlich. Cursor setzt stark auf eine eigene UI mit parallelem Agents-Window und ein günstiges Hausmodell; Claude Code bleibt CLI-zentriert mit feingranularen Berechtigungs-Hooks. Für die Tool-Wahl heißt das: Es geht weniger um „welches Modell ist drei Benchmark-Punkte besser” als um das Bedienmodell und die Frage, wie viel Autonomie ein Team verantworten kann und will.

Was du jetzt tun kannst

Wenn du Auto-Review testen willst: Aktiviere den Modus erst in einem isolierten Projekt ohne Zugriff auf Produktiv-Systeme. Prüfe deine Terminal- und MCP-Allowlist Zeile für Zeile, bevor du den Agenten länger allein laufen lässt — der Klassifizierer ist Komfort, kein Sicherheitsgarant.

Wenn dich die Kosten langer Agenten-Läufe drücken: Vergleiche Composer 2.5 auf der Standard-Stufe gegen dein bisheriges Modell. Bei langen, token-intensiven Tasks ist das Preis-Leistungs-Verhältnis der eigentliche Hebel, nicht der Benchmark-Score.

Wenn ihr im Team arbeitet: Schaut euch vor dem 1. Juli 2026 an, welche Seats zu eurem Verbrauch passen. Der Premium-Seat lohnt sich nur für echte Heavy-Agent-Nutzer; für gelegentliche Nutzung bleibt Standard die ruhigere Wahl. Richtet dollarbasierte Spend-Alerts ein, bevor die erste Rechnung überrascht.

Tiefer einsteigen

Wie Cursor, Claude Code und andere KI-Coding-Tools im direkten Vergleich abschneiden, steht hier: → KI-Coding-Tools im Vergleich

Entdecke mehr

Lexikon

Themenuebersicht

KI-Werkzeuge AI-IDE