Cognition 釋出了 Devin Vulnerability Fixes 外掛，這是一套免費、開源的 agent skills 集合。它針對近期三份關鍵遠端程式碼執行（RCE）安全公告，分別覆蓋 PHP2Shell、2026 年 10 月 21 日的 Node.js 安全版本，以及一個 CVSS 評分為 10.0 的自管理 GitLab 漏洞。這些 skills 可在 Devin 中執行，也可在任何能夠讀取 SKILL.md 檔案的編碼 agent 中執行。Cognition 將內部使用的修復工作流打包成這套外掛，開發者可以依次完成盤點、審批、打補丁、測試，然後為每個程式碼庫提交 1 個 pull request。
TL;DR
規模：三個 skills（fix-php-vuln、fix-node-vuln、fix-gitlab-vuln），MIT 許可證。
執行環境：Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode 和 Windsurf。需要 git、shell、Docker 以及 registry 訪問許可權。npx skills 安裝需要 Node.js 22.20 或更高版本。
效能：該外掛沒有釋出任何修復基準測試或修復率資料。
最佳之處：覆蓋本週最嚴重的漏洞 GitLab CVE-2026-110264，評分為 CVSS 10.0。
最差之處：驗證的強度取決於你的測試本身。託管執行時、硬體裝置和 Electron 應用只會被標記出來，而不會被自動打補丁。
什麼是 Devin Vulnerability Fixes 外掛？
Devin Vulnerability Fixes 外掛是 Cognition 推出的一套三個 Agent Skills。它們能夠發現並修補存在漏洞的 PHP、Node.js 和自管理 GitLab 部署。原始碼位於 GitHub，採用 MIT 許可證。Cognition 的產品頁面將其列為免費且開源。
它能修復哪些漏洞？
PHP2Shell（CVE-2026-109618、CVE-2026-109619）：PHP 將這兩個缺陷評為 CVSS v4.0 9.2。第一個缺陷會在記憶體耗盡後損壞記憶體。第二個缺陷會讓某個請求遺留的全域性狀態洩漏到下一個請求中。PHP 表示所有提供 Web 服務的部署都面臨風險，其中 mod_php 風險最高。修復版本為 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本不會獲得正式釋出，僅針對 7.4、8.0 和 8.1 提供原始碼回溯移植。
Node.js 2026 年 10 月版本：它修復了 10 個 CVE，其中 4 個被評為 High。主要缺陷 CVE-2026-111497 是 Brotli 解碼器越界寫入，可導致 RCE。修復版本為 22.23.4、24.22.1 和 26.12.1。Node.js 20 及更早版本已停止維護，不會獲得修復。
GitLab CVE-2026-110264：正規表示式編譯器中的整數溢位允許未認證的程式碼執行。它影響從 7.0 起的 GitLab CE/EE，評分為 CVSS 10.0。GitLab.com 和 GitLab Dedicated 已完成修補。
外掛如何工作？
每個 skill 都遵循相同的五步流程：
只讀盤點：agent 掃描 Dockerfile、基礎映象、發行版軟體包、CI、Helm、Terraform、Packer、Lambda 和配置管理。
審批閘門：在你選定程式碼庫之前不會有任何更改。風險較高的次版本或主版本升級會被優先標出。
驗證目標：所有標籤、digest、軟體包版本和校驗和都會在編輯前與官方來源核對。
前後測試：測試套件先在當前版本上執行，然後在新的生產映象中執行。出現迴歸會中止整個流程。
每個程式碼庫一個 PR：每個 PR 都包含版本資訊、測試結果、執行時差異、風險標籤和回滾方案。
這些 skills 還編碼了已知的補丁陷阱。Debian 和 Ubuntu 會在不改變上游版本號的情況下回溯修復，因此 php -v 可能產生誤導。Ubuntu 24.04 的修復包版本是 8.3.6-0ubuntu0.24.04.13。以 digest 固定的映象需要新的 digest。修改 Composer 的 require.php 並不能打上任何補丁。
如何安裝和執行？
在 Devin 中，依次開啟 Customize、Plugins、Browse Marketplace，然後搜尋 Vulnerability Fixes。Devin CLI 使用 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes。對於其他 agent，執行 npx skills add CognitionAI/devin-vuln-fixes。Claude Code 使用者可以新增 marketplace 並執行 /plugin install vuln-fixes@cognition-skills。
然後用自然語言提問，例如「Please fix my PHP vulnerability.」。斜槓命令同樣可用：/fix-php-vuln、/fix-node-vuln 和 /fix-gitlab-vuln。
與 Dependabot、Copilot Autofix 和 Snyk Agent Fix 相比如何？
功能對比：Devin Vulnerability Fixes 修復針對 3 份公告的 PHP、Node.js 和自管理 GitLab 版本；Dependabot 安全更新修復有可用補丁的易受攻擊依賴以及 GitHub Actions；GitHub Copilot Autofix 修復程式碼掃描警報；Snyk Agent Fix 修復 Snyk Code 發現的問題。
編輯位置：Devin 外掛涉及 Dockerfile、映象、發行版軟體包、CI、Helm、Terraform 和配置管理；Dependabot 涉及 manifest 和 lock 檔案；Copilot Autofix 在程式碼庫中提供程式碼建議；Snyk 在本地檔案中做程式碼修復，但不處理複雜的跨檔案邏輯。
編輯前審批：Devin 外掛需要先做只讀盤點；Dependabot 在啟用後會自動開啟 PR；Copilot Autofix 未披露；Snyk 需要使用者點選「Generate AI fix」並審閱。
驗證：Devin 外掛會在新的生產映象中做前後測試；Dependabot 使用公共 CI 執行的相容性評分；Copilot Autofix 未披露；Snyk 會用 Snyk Code 引擎重新測試修復。
執行位置：Devin 外掛可在任何讀取 SKILL.md 的 agent 中執行；Dependabot 在 GitHub；Copilot Autofix 在 GitHub；Snyk 在 Web UI 和 IDE 外掛中。
許可證：Devin 外掛為 MIT 開源；其餘三者未披露。
成本：Devin 外掛免費；Dependabot 對所有 GitHub 程式碼庫可用；Copilot Autofix 對公共程式碼庫免費，私有程式碼庫需要 GitHub Code Security；Snyk 需要 Snyk Code，價格未披露。
這些工具解決的是相鄰的問題。Dependabot 和程式碼修復 agent 處理應用依賴和原始碼。Cognition 的外掛則瞄準執行時層：基礎映象、作業系統軟體包和基礎設施即程式碼。
關鍵要點
三個 MIT 許可的 skills 用於修復 PHP2Shell、Node.js 和 GitLab CVE-2026-110264。
在任何編輯之前都要先做只讀盤點和審批閘門。
測試會在新的生產映象中前後執行。
可在 Devin、Claude Code、Codex、Cursor 以及其他 SKILL.md agent 中使用。
沒有公佈的修復率基準；結果取決於你的測試覆蓋率。
可檢視 GitHub 倉庫、Cognition 部落格文章和外掛頁面。也歡迎關注我們的 Twitter，並加入我們 15 萬+ 的 ML SubReddit 以及訂閱我們的 Newsletter。等等！你也在用 Telegram 嗎？現在你也可以加入我們的 Telegram。
需要與我們合作推廣你的 GitHub 倉庫、Hugging Face 頁面、產品釋出或網路研討會等？聯絡我們。