Cognition 已发布 Devin Vulnerability Fixes 插件，这是一套免费的开源智能体技能。它针对三个严重的远程代码执行（RCE）安全公告。它们涵盖 PHP2Shell、 Node.js 2026 年 10 月 21 日安全更新 以及一个 CVSS 10.0 的自托管 GitLab 漏洞。这些技能可在 Devin 以及 任何能读取 SKILL.md 文件的编码智能体中运行。Cognition 将其内部使用的修复工作流打包。开发者可以进行清点、批准、修补、测试，然后为每个仓库提交 1 个拉取请求。
TL;DR
- 规模： 三个技能（
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln），MIT 许可证。 - 运行于： Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode 和 Windsurf。需要 git、shell、Docker 和 registry 访问权限。该
npx skills安装需要 Node.js 22.20 或更高版本。 - 性能： 该插件没有发布任何修复基准测试或修复率数据。
- 优点： 覆盖本周最严重的漏洞，即评级为 CVSS 10.0 的 GitLab CVE-2026-110264。
- 缺点： 验证的效果取决于你的测试强度。托管运行时、设备和 Electron 应用只会被标记，而不会被修补。
什么是 Devin Vulnerability Fixes 插件？
Devin Vulnerability Fixes 插件是一套包含三个 Agent Skills 来自 Cognition。他们会发现并修补存在漏洞的 PHP、Node.js 以及自行管理的 GitLab 部署。该 源代码在 GitHub 上 根据MIT许可证。Cognition的 产品页面 将其列为免费开源软件。
它修复了哪些漏洞？
- PHP2Shell（CVE-2026-109618、CVE-2026-109619）：PHP 将这两个漏洞均评级为 CVSS v4.0 9.2“。第一个在内存不足情况下会损坏内存。第二个会让来自一个请求的陈旧全局状态影响下一个请求。PHP 表示” 每个网页服务设置都面临风险其中 mod_php 被评为风险最高。修复版本为 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更旧版本没有发布更新，7.4、8.0 和 8.1 仅提供源码级向后移植。
- Node.js 2026年10月发布：它修复了 10个CVE，其中4个被评为高危。首要漏洞 CVE-2026-111497 是一个 Brotli 解码器越界写入，可能导致远程代码执行（RCE）。修复版本为 22.23.4、24.22.1 和 26.12.1。Node.js 20 及更旧版本已停止维护，不会获得修复。
- GitLab CVE-2026-110264：正则表达式编译器中的一个整数溢出允许 未经身份验证的代码执行。它影响自 7.0 起的 GitLab CE/EE，CVSS 评分为 10.0。GitLab.com 和 GitLab Dedicated 已完成修补。
该插件是如何工作的？
每个技能都遵循 相同的五步结构:
- 只读盘点：代理扫描 Dockerfile、基础镜像、发行版软件包、CI、Helm、Terraform、Packer、Lambda 以及配置管理。
- 审批关口：在你选定代码仓库之前不会有任何更改。风险较高的次版本或主版本升级会首先被标注出来。
- 经验证的目标：在编辑之前，每个标签、摘要、软件包版本和校验和都会对照官方来源进行确认。
- 前后测试：测试套件先在当前版本上运行，然后在新生产镜像内运行。出现回归则中止运行。
- 每个仓库一个 PR: 每个 PR 都带有版本号、测试结果、运行时差异、风险标签和回滚计划。
这些技能还编码了已知的补丁陷阱。Debian 和 Ubuntu 在不更改上游版本的情况下回移植修复，因此 php -v 可能会产生误导。 Ubuntu 24.04 的已修复软件包 是 8.3.6-0ubuntu0.24.04.13。摘要锁定的镜像需要新的摘要。更改 Composer 的 require.php 不会修补任何内容。
如何安装和运行它？
在 Devin 中，打开 Customize，然后打开 Plugins，再打开 Browse Marketplace，并搜索 Vulnerability Fixes。The Devin CLI 使用 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes。对于其他智能体，运行 npx skills add CognitionAI/devin-vuln-fixes。Claude Code 用户可以添加该 marketplace 并运行 /plugin install vuln-fixes@cognition-skills.
然后用自然语言提问，例如“请修复我的 PHP 漏洞。”斜杠命令也可用： /fix-php-vuln, /fix-node-vuln 和 /fix-gitlab-vuln.
它与 Dependabot、Copilot Autofix 和 Snyk Agent Fix 相比如何？
| 功能 | Devin Vulnerability Fixes | Dependabot security updates | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| 修复内容 | 针对 3 项公告的 PHP、Node.js 和自行管理的 GitLab 版本 | 有可用补丁的易受攻击依赖，以及 GitHub Actions | 代码扫描警报 | Snyk Code 发现的问题 |
| 编辑位置 | Dockerfile、镜像、发行版软件包、CI、Helm、Terraform、配置管理 | manifest 和 lock 文件 | 仓库中的代码建议 | 本地文件代码修复；不支持复杂的跨文件逻辑 |
| 编辑前的审批 | 是，先提供只读清单 | 否：一旦启用即自动打开 PR | 未披露 | 用户点击“Generate AI fix”并进行审查 |
| 验证 | 在新生产镜像内部进行修复前后的测试 | 来自公共 CI 运行的兼容性评分 | 未披露 | 使用 Snyk Code 引擎重新测试修复 |
| 运行位置 | 任何读取 SKILL.md 的代理 | GitHub | GitHub | Snyk web UI 和 IDE 插件 |
| 许可证 | MIT,开源 | 未披露 | 未披露 | 未披露 |
| 费用 | 免费 | 适用于所有 GitHub 仓库 | 公共仓库免费;私有仓库需要 GitHub Code Security | 需要 Snyk Code;价格未披露 |
这些工具解决的是相邻的问题。Dependabot 和代码修复代理作用于应用依赖和源代码。Cognition 的插件则针对运行时层:基础镜像、OS 包和基础设施即代码。
关键要点
- 三个采用 MIT 许可证的技能修复了 PHP2Shell、Node.js 和 GitLab CVE-2026-110264。
- 在任何编辑之前,会先进行只读清单扫描和一个审批关卡。
- 测试在新的生产镜像内部于编辑前后各运行一次。
- 适用于 Devin、Claude Code、Codex、Cursor 以及其他支持 SKILL.md 的代理。
- 没有公开发布的修复率基准;结果取决于你的测试覆盖率。
查看 GitHub 仓库、 Cognition 博客文章 和 插件页面。另外,欢迎在 Twitter 上关注我们,别忘了加入我们的 150k+ML SubReddit 并订阅 我们的新闻通讯。等等!你用 Telegram 吗? 现在你也可以在 Telegram 上加入我们了。
需要与我们合作推广您的 GitHub Repo、Hugging Face Page、产品发布或网络研讨会等吗？ 与我们联系
这篇文章 Cognition 开源一款帮助保护系统免受近期网络安全威胁的 Agent 插件 首发于 MarkTechPost.