Cognition 发布了 Devin Vulnerability Fixes 插件，这是一套免费、开源的 agent skills 集合。它针对近期三份关键远程代码执行（RCE）安全公告，分别覆盖 PHP2Shell、2026 年 10 月 21 日的 Node.js 安全版本，以及一个 CVSS 评分为 10.0 的自管理 GitLab 漏洞。这些 skills 可在 Devin 中运行，也可在任何能够读取 SKILL.md 文件的编码 agent 中运行。Cognition 将内部使用的修复工作流打包成这套插件，开发者可以依次完成盘点、审批、打补丁、测试，然后为每个代码库提交 1 个 pull request。
TL;DR
规模：三个 skills（fix-php-vuln、fix-node-vuln、fix-gitlab-vuln），MIT 许可证。
运行环境：Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode 和 Windsurf。需要 git、shell、Docker 以及 registry 访问权限。npx skills 安装需要 Node.js 22.20 或更高版本。
性能：该插件没有发布任何修复基准测试或修复率数据。
最佳之处：覆盖本周最严重的漏洞 GitLab CVE-2026-110264，评分为 CVSS 10.0。
最差之处：验证的强度取决于你的测试本身。托管运行时、硬件设备和 Electron 应用只会被标记出来，而不会被自动打补丁。
什么是 Devin Vulnerability Fixes 插件？
Devin Vulnerability Fixes 插件是 Cognition 推出的一套三个 Agent Skills。它们能够发现并修补存在漏洞的 PHP、Node.js 和自管理 GitLab 部署。源码位于 GitHub，采用 MIT 许可证。Cognition 的产品页面将其列为免费且开源。
它能修复哪些漏洞？
PHP2Shell（CVE-2026-109618、CVE-2026-109619）：PHP 将这两个缺陷评为 CVSS v4.0 9.2。第一个缺陷会在内存耗尽后损坏内存。第二个缺陷会让某个请求遗留的全局状态泄漏到下一个请求中。PHP 表示所有提供 Web 服务的部署都面临风险，其中 mod_php 风险最高。修复版本为 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本不会获得正式发布，仅针对 7.4、8.0 和 8.1 提供源码回溯移植。
Node.js 2026 年 10 月版本：它修复了 10 个 CVE，其中 4 个被评为 High。主要缺陷 CVE-2026-111497 是 Brotli 解码器越界写入，可导致 RCE。修复版本为 22.23.4、24.22.1 和 26.12.1。Node.js 20 及更早版本已停止维护，不会获得修复。
GitLab CVE-2026-110264：正则表达式编译器中的整数溢出允许未认证的代码执行。它影响从 7.0 起的 GitLab CE/EE，评分为 CVSS 10.0。GitLab.com 和 GitLab Dedicated 已完成修补。
插件如何工作？
每个 skill 都遵循相同的五步流程：
只读盘点：agent 扫描 Dockerfile、基础镜像、发行版软件包、CI、Helm、Terraform、Packer、Lambda 和配置管理。
审批闸门：在你选定代码库之前不会有任何更改。风险较高的次版本或主版本升级会被优先标出。
验证目标：所有标签、digest、软件包版本和校验和都会在编辑前与官方来源核对。
前后测试：测试套件先在当前版本上运行，然后在新的生产镜像中运行。出现回归会中止整个流程。
每个代码库一个 PR：每个 PR 都包含版本信息、测试结果、运行时差异、风险标签和回滚方案。
这些 skills 还编码了已知的补丁陷阱。Debian 和 Ubuntu 会在不改变上游版本号的情况下回溯修复，因此 php -v 可能产生误导。Ubuntu 24.04 的修复包版本是 8.3.6-0ubuntu0.24.04.13。以 digest 固定的镜像需要新的 digest。修改 Composer 的 require.php 并不能打上任何补丁。
如何安装和运行？
在 Devin 中，依次打开 Customize、Plugins、Browse Marketplace，然后搜索 Vulnerability Fixes。Devin CLI 使用 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes。对于其他 agent，运行 npx skills add CognitionAI/devin-vuln-fixes。Claude Code 用户可以添加 marketplace 并运行 /plugin install vuln-fixes@cognition-skills。
然后用自然语言提问，例如「Please fix my PHP vulnerability.」。斜杠命令同样可用：/fix-php-vuln、/fix-node-vuln 和 /fix-gitlab-vuln。
与 Dependabot、Copilot Autofix 和 Snyk Agent Fix 相比如何？
功能对比：Devin Vulnerability Fixes 修复针对 3 份公告的 PHP、Node.js 和自管理 GitLab 版本；Dependabot 安全更新修复有可用补丁的易受攻击依赖以及 GitHub Actions；GitHub Copilot Autofix 修复代码扫描警报；Snyk Agent Fix 修复 Snyk Code 发现的问题。
编辑位置：Devin 插件涉及 Dockerfile、镜像、发行版软件包、CI、Helm、Terraform 和配置管理；Dependabot 涉及 manifest 和 lock 文件；Copilot Autofix 在代码库中提供代码建议；Snyk 在本地文件中做代码修复，但不处理复杂的跨文件逻辑。
编辑前审批：Devin 插件需要先做只读盘点；Dependabot 在启用后会自动开启 PR；Copilot Autofix 未披露；Snyk 需要用户点击「Generate AI fix」并审阅。
验证：Devin 插件会在新的生产镜像中做前后测试；Dependabot 使用公共 CI 运行的兼容性评分；Copilot Autofix 未披露；Snyk 会用 Snyk Code 引擎重新测试修复。
运行位置：Devin 插件可在任何读取 SKILL.md 的 agent 中运行；Dependabot 在 GitHub；Copilot Autofix 在 GitHub；Snyk 在 Web UI 和 IDE 插件中。
许可证：Devin 插件为 MIT 开源；其余三者未披露。
成本：Devin 插件免费；Dependabot 对所有 GitHub 代码库可用；Copilot Autofix 对公共代码库免费，私有代码库需要 GitHub Code Security；Snyk 需要 Snyk Code，价格未披露。
这些工具解决的是相邻的问题。Dependabot 和代码修复 agent 处理应用依赖和源代码。Cognition 的插件则瞄准运行时层：基础镜像、操作系统软件包和基础设施即代码。
关键要点
三个 MIT 许可的 skills 用于修复 PHP2Shell、Node.js 和 GitLab CVE-2026-110264。
在任何编辑之前都要先做只读盘点和审批闸门。
测试会在新的生产镜像中前后运行。
可在 Devin、Claude Code、Codex、Cursor 以及其他 SKILL.md agent 中使用。
没有公布的修复率基准；结果取决于你的测试覆盖率。
可查看 GitHub 仓库、Cognition 博客文章和插件页面。也欢迎关注我们的 Twitter，并加入我们 15 万+ 的 ML SubReddit 以及订阅我们的 Newsletter。等等！你也在用 Telegram 吗？现在你也可以加入我们的 Telegram。
需要与我们合作推广你的 GitHub 仓库、Hugging Face 页面、产品发布或网络研讨会等？联系我们。