Cognition открыла исходный код плагина агента, помогающего защищать системы от последних киберугроз
Cognition выпустила плагин Devin Vulnerability Fixes — бесплатный набор навыков агентов с открытым исходным кодом. Он предназначен для устранения трёх критических уязвимостей, позволяющих удалённое выполнение кода (RCE). Они охватывают PHP2Shell, выпуск обновлений безопасности Node.js от 21 октября 2026 года и ошибку в самостоятельно управляемом GitLab с оценкой CVSS 10.0. Навыки работают в Devin и в любом агенте программирования, который читает файлы SKILL.md. Cognition упаковала рабочий процесс устранения уязвимостей, который использовала внутри компании. Разработчики могут провести инвентаризацию, утвердить изменения, установить исправления, протестировать их, а затем отправить по одному pull request для каждого репозитория.
Кратко
- Состав: три навыка (
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln), лицензия MIT. - Работает в: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode и Windsurf. Требуются git, оболочка, Docker и доступ к реестрам. Для установки через
npx skillsнеобходим Node.js 22.20 или более поздней версии. - Производительность: для плагина не опубликованы результаты тестов по устранению уязвимостей или показатель успешности исправлений.
- Лучшее: охватывает самую серьёзную уязвимость недели — GitLab CVE-2026-110264 с оценкой CVSS 10.0.
- Худшее: качество проверки ограничено качеством ваших тестов. Управляемые среды выполнения, устройства и приложения Electron помечаются, но не исправляются.
Что такое плагин Devin Vulnerability Fixes?
Плагин Devin Vulnerability Fixes — это набор из трёх навыков агентов от Cognition. Они находят и исправляют уязвимости в PHP, Node.js и самостоятельно управляемых развертываниях GitLab. Исходный код размещён на GitHub под лицензией MIT. На странице продукта Cognition указывает, что он бесплатный и имеет открытый исходный код.
Какие уязвимости он исправляет?
- PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP оценивает обе уязвимости в 9.2 по CVSS v4.0. Первая повреждает память после возникновения состояния нехватки памяти. Вторая позволяет устаревшему глобальному состоянию из одного запроса перейти в следующий. PHP сообщает, что под угрозой находится любая конфигурация, обслуживающая веб-запросы, причём mod_php имеет наивысший уровень риска. Исправленные версии: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для PHP 8.1 и более старых версий новые выпуски не предоставляются; доступны только обратные исправления исходного кода для 7.4, 8.0 и 8.1.
- Выпуск Node.js за октябрь 2026 года: он исправляет 10 уязвимостей CVE, 4 из которых имеют высокий уровень опасности. Основная ошибка CVE-2026-111497 представляет собой запись за пределы границ памяти в декодере Brotli, которая может обеспечить RCE. Исправленные версии: 22.23.4, 24.22.1 и 26.12.1. Node.js 20 и более старые версии достигли конца жизненного цикла и не получают исправлений.
- GitLab CVE-2026-110264: переполнение целого числа в компиляторе регулярных выражений позволяет осуществлять выполнение кода без аутентификации. Уязвимость затрагивает GitLab CE/EE начиная с версии 7.0 и имеет оценку CVSS 10.0. GitLab.com и GitLab Dedicated уже исправлены.
Как работает плагин?
Каждый навык следует одинаковой пятиэтапной схеме:
- Инвентаризация только для чтения: агент сканирует Dockerfile, базовые образы, пакеты дистрибутивов, CI, Helm, Terraform, Packer, Lambda и системы управления конфигурациями.
- Этап утверждения: ничего не меняется, пока вы не выберете репозитории. Более рискованные обновления минорных или мажорных версий сначала выделяются отдельно.
- Проверенная цель: каждый тег, дайджест, версия пакета и контрольная сумма проверяются по официальному источнику перед внесением изменений.
- Тестирование до и после: набор тестов запускается на текущей версии, а затем внутри нового рабочего образа. При обнаружении регрессий процесс останавливается.
- Один PR на репозиторий: каждый PR содержит версии, результаты тестов, различия в среде выполнения, метку риска и план отката.
Навыки также учитывают известные проблемы при установке исправлений. Debian и Ubuntu переносят исправления в свои пакеты без изменения версий исходных проектов, поэтому команда php -v может вводить в заблуждение. Исправленный пакет для Ubuntu 24.04 имеет версию 8.3.6-0ubuntu0.24.04.13. Для образов с зафиксированным дайджестом требуется новый дайджест. Изменение require.php в Composer ничего не исправляет.
Как установить и запустить плагин?
В Devin откройте Customize, затем Plugins, после этого Browse Marketplace и выполните поиск по Vulnerability Fixes. В Devin CLI используется команда devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Для других агентов выполните npx skills add CognitionAI/devin-vuln-fixes. Пользователи Claude Code могут добавить маркетплейс и выполнить команду /plugin install vuln-fixes@cognition-skills.
Затем сформулируйте запрос обычным языком, например: «Пожалуйста, исправь мою уязвимость в PHP». Также работают команды со слешем: /fix-php-vuln, /fix-node-vuln и /fix-gitlab-vuln.
Как он сравнивается с Dependabot, Copilot Autofix и Snyk Agent Fix?
| Возможность | Devin Vulnerability Fixes | Обновления безопасности Dependabot | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| Что исправляет | Версии PHP, Node.js и самостоятельно управляемого GitLab для 3 рекомендаций по безопасности | Уязвимые зависимости с доступным исправлением, а также GitHub Actions | Предупреждения сканирования кода | Результаты анализа Snyk Code |
| Где вносит изменения | Dockerfile, образы, пакеты дистрибутивов, CI, Helm, Terraform, системы управления конфигурациями | Файлы манифестов и блокировки зависимостей | Предложения по коду в репозитории | Исправления кода в локальных файлах; сложная логика между файлами не поддерживается |
| Утверждение перед изменениями | Да, сначала инвентаризация только для чтения | Нет: после включения PR открываются автоматически | Не раскрыто | Пользователь нажимает «Generate AI fix» и проверяет результат |
| Проверка | Тесты до и после внутри нового рабочего образа | Оценки совместимости на основе общедоступных запусков CI | Не раскрыто | Повторно проверяет исправление с помощью движка Snyk Code |
| Где работает | В любом агенте, который читает SKILL.md | GitHub | GitHub | Веб-интерфейс Snyk и плагины для IDE |
| Лицензия | MIT, открытый исходный код | Не раскрыто | Не раскрыто | Не раскрыто |
| Стоимость | Бесплатно | Доступно для всех репозиториев GitHub | Бесплатно для публичных репозиториев; для приватных репозиториев требуется GitHub Code Security | Требуется Snyk Code; цена не раскрыта |
Эти инструменты решают смежные задачи. Dependabot и агенты исправления кода работают с зависимостями приложений и исходным кодом. Плагин Cognition предназначен для уровня среды выполнения: базовых образов, пакетов ОС и инфраструктуры как кода.
Основные выводы
- Три навыка под лицензией MIT исправляют PHP2Shell, уязвимости Node.js и GitLab CVE-2026-110264.
- Перед любыми изменениями выполняются инвентаризация только для чтения и этап утверждения.
- Тесты запускаются до и после изменений внутри нового рабочего образа.
- Работает в Devin, Claude Code, Codex, Cursor и других агентах, использующих SKILL.md.
- Опубликованных тестов успешности исправлений нет; результаты зависят от покрытия тестами.
Ознакомьтесь с репозиторием на GitHub, публикацией в блоге Cognition и страницей плагина. Также подписывайтесь на нас в Twitter и не забудьте присоединиться к нашему сабреддиту по машинному обучению с более чем 150 тысячами участников и подписаться на нашу рассылку. Постойте! Вы пользуетесь Telegram? теперь вы также можете присоединиться к нам в Telegram.
Хотите сотрудничать с нами в продвижении вашего репозитория GitHub, страницы Hugging Face, релиза продукта, вебинара и т. д.? Свяжитесь с нами
Переведено автоматически с английского. Оригинал статьи — по ссылке ниже.