Cognition 發佈了 Devin Vulnerability Fixes 插件，這是一套免費、開源的 agent skills 集合。它針對近期三份關鍵遠程代碼執行（RCE）安全公告，分別覆蓋 PHP2Shell、2026 年 10 月 21 日的 Node.js 安全版本，以及一個 CVSS 評分為 10.0 的自管理 GitLab 漏洞。這些 skills 可在 Devin 中運行，也可在任何能夠讀取 SKILL.md 文件的編碼 agent 中運行。Cognition 將內部使用的修復工作流打包成這套插件，開發者可以依次完成盤點、審批、打補丁、測試，然後為每個代碼庫提交 1 個 pull request。
TL;DR
規模：三個 skills（fix-php-vuln、fix-node-vuln、fix-gitlab-vuln），MIT 許可證。
運行環境：Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode 和 Windsurf。需要 git、shell、Docker 以及 registry 訪問權限。npx skills 安裝需要 Node.js 22.20 或更高版本。
性能：該插件沒有發佈任何修復基準測試或修復率數據。
最佳之處：覆蓋本週最嚴重的漏洞 GitLab CVE-2026-110264，評分為 CVSS 10.0。
最差之處：驗證的強度取決於你的測試本身。託管運行時、硬件設備和 Electron 應用只會被標記出來，而不會被自動打補丁。
什麼是 Devin Vulnerability Fixes 插件？
Devin Vulnerability Fixes 插件是 Cognition 推出的一套三個 Agent Skills。它們能夠發現並修補存在漏洞的 PHP、Node.js 和自管理 GitLab 部署。源碼位於 GitHub，採用 MIT 許可證。Cognition 的產品頁面將其列為免費且開源。
它能修復哪些漏洞？
PHP2Shell（CVE-2026-109618、CVE-2026-109619）：PHP 將這兩個缺陷評為 CVSS v4.0 9.2。第一個缺陷會在內存耗盡後損壞內存。第二個缺陷會讓某個請求遺留的全局狀態泄漏到下一個請求中。PHP 表示所有提供 Web 服務的部署都面臨風險，其中 mod_php 風險最高。修復版本為 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本不會獲得正式發佈，僅針對 7.4、8.0 和 8.1 提供源碼回溯移植。
Node.js 2026 年 10 月版本：它修復了 10 個 CVE，其中 4 個被評為 High。主要缺陷 CVE-2026-111497 是 Brotli 解碼器越界寫入，可導致 RCE。修復版本為 22.23.4、24.22.1 和 26.12.1。Node.js 20 及更早版本已停止維護，不會獲得修復。
GitLab CVE-2026-110264：正則表達式編譯器中的整數溢出允許未認證的代碼執行。它影響從 7.0 起的 GitLab CE/EE，評分為 CVSS 10.0。GitLab.com 和 GitLab Dedicated 已完成修補。
插件如何工作？
每個 skill 都遵循相同的五步流程：
只讀盤點：agent 掃描 Dockerfile、基礎鏡像、發行版軟件包、CI、Helm、Terraform、Packer、Lambda 和配置管理。
審批閘門：在你選定代碼庫之前不會有任何更改。風險較高的次版本或主版本升級會被優先標出。
驗證目標：所有標籤、digest、軟件包版本和校驗和都會在編輯前與官方來源核對。
前後測試：測試套件先在當前版本上運行，然後在新的生產鏡像中運行。出現迴歸會中止整個流程。
每個代碼庫一個 PR：每個 PR 都包含版本信息、測試結果、運行時差異、風險標籤和回滾方案。
這些 skills 還編碼了已知的補丁陷阱。Debian 和 Ubuntu 會在不改變上游版本號的情況下回溯修復，因此 php -v 可能產生誤導。Ubuntu 24.04 的修復包版本是 8.3.6-0ubuntu0.24.04.13。以 digest 固定的鏡像需要新的 digest。修改 Composer 的 require.php 並不能打上任何補丁。
如何安裝和運行？
在 Devin 中，依次打開 Customize、Plugins、Browse Marketplace，然後搜索 Vulnerability Fixes。Devin CLI 使用 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes。對於其他 agent，運行 npx skills add CognitionAI/devin-vuln-fixes。Claude Code 用户可以添加 marketplace 並運行 /plugin install vuln-fixes@cognition-skills。
然後用自然語言提問，例如「Please fix my PHP vulnerability.」。斜槓命令同樣可用：/fix-php-vuln、/fix-node-vuln 和 /fix-gitlab-vuln。
與 Dependabot、Copilot Autofix 和 Snyk Agent Fix 相比如何？
功能對比：Devin Vulnerability Fixes 修復針對 3 份公告的 PHP、Node.js 和自管理 GitLab 版本；Dependabot 安全更新修復有可用補丁的易受攻擊依賴以及 GitHub Actions；GitHub Copilot Autofix 修復代碼掃描警報；Snyk Agent Fix 修復 Snyk Code 發現的問題。
編輯位置：Devin 插件涉及 Dockerfile、鏡像、發行版軟件包、CI、Helm、Terraform 和配置管理；Dependabot 涉及 manifest 和 lock 文件；Copilot Autofix 在代碼庫中提供代碼建議；Snyk 在本地文件中做代碼修復，但不處理複雜的跨文件邏輯。
編輯前審批：Devin 插件需要先做只讀盤點；Dependabot 在啓用後會自動開啓 PR；Copilot Autofix 未披露；Snyk 需要用户點擊「Generate AI fix」並審閲。
驗證：Devin 插件會在新的生產鏡像中做前後測試；Dependabot 使用公共 CI 運行的兼容性評分；Copilot Autofix 未披露；Snyk 會用 Snyk Code 引擎重新測試修復。
運行位置：Devin 插件可在任何讀取 SKILL.md 的 agent 中運行；Dependabot 在 GitHub；Copilot Autofix 在 GitHub；Snyk 在 Web UI 和 IDE 插件中。
許可證：Devin 插件為 MIT 開源；其餘三者未披露。
成本：Devin 插件免費；Dependabot 對所有 GitHub 代碼庫可用；Copilot Autofix 對公共代碼庫免費，私有代碼庫需要 GitHub Code Security；Snyk 需要 Snyk Code，價格未披露。
這些工具解決的是相鄰的問題。Dependabot 和代碼修復 agent 處理應用依賴和源代碼。Cognition 的插件則瞄準運行時層：基礎鏡像、操作系統軟件包和基礎設施即代碼。
關鍵要點
三個 MIT 許可的 skills 用於修復 PHP2Shell、Node.js 和 GitLab CVE-2026-110264。
在任何編輯之前都要先做只讀盤點和審批閘門。
測試會在新的生產鏡像中前後運行。
可在 Devin、Claude Code、Codex、Cursor 以及其他 SKILL.md agent 中使用。
沒有公佈的修復率基準；結果取決於你的測試覆蓋率。
可查看 GitHub 倉庫、Cognition 博客文章和插件頁面。也歡迎關注我們的 Twitter，並加入我們 15 萬+ 的 ML SubReddit 以及訂閲我們的 Newsletter。等等！你也在用 Telegram 嗎？現在你也可以加入我們的 Telegram。
需要與我們合作推廣你的 GitHub 倉庫、Hugging Face 頁面、產品發佈或網絡研討會等？聯繫我們。