Cognition відкрила вихідний код агентського плагіна, що допомагає захищати системи від останніх кіберзагроз

Cognition випустила плагін Devin Vulnerability Fixes — безкоштовний набір навичок агентів із відкритим кодом. Він спрямований на три критичні рекомендації щодо віддаленого виконання коду (RCE). Вони охоплюють PHP2Shell, жовтневий реліз безпеки Node.js від 21 жовтня 2026 року та помилку в самокерованому GitLab із CVSS 10.0. Навички працюють у Devin і в будь-якому агенті програмування, який читає файли SKILL.md. Cognition упакувала робочий процес усунення вразливостей, який використовувала всередині компанії. Розробники можуть провести інвентаризацію, затвердити зміни, застосувати виправлення, протестувати, а потім надіслати по 1 pull request для кожного репозиторію.

Коротко

Склад: три навички (fix-php-vuln, fix-node-vuln, fix-gitlab-vuln), ліцензія MIT.
Працює в: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode і Windsurf. Потрібні git, оболонка, Docker і доступ до реєстру. Для встановлення через npx skills потрібен Node.js 22.20 або новіший.
Продуктивність: для плагіна не опубліковано жодного бенчмарку усунення вразливостей або показника частки виправлень.
Найкраще: охоплює найсерйознішу помилку тижня — GitLab CVE-2026-110264, оцінену в CVSS 10.0.
Найгірше: якість перевірки не вища за якість ваших тестів. Керовані середовища виконання, апаратні пристрої та Electron-застосунки позначаються, але не виправляються.

Що таке плагін Devin Vulnerability Fixes?

Плагін Devin Vulnerability Fixes — це набір із трьох навичок агентів від Cognition. Вони знаходять і виправляють уразливості в PHP, Node.js і самокерованих розгортаннях GitLab. Вихідний код доступний на GitHub за ліцензією MIT. На сторінці продукту Cognition зазначає, що він безкоштовний і має відкритий код.

Які вразливості він виправляє?

PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP оцінює обидві вразливості в CVSS v4.0 9.2. Перша пошкоджує пам’ять після стану нестачі пам’яті. Друга дає змогу застарілому глобальному стану з одного запиту потрапити до наступного. PHP повідомляє, що кожне середовище, що обслуговує вебзапити, перебуває під загрозою, причому mod_php має найвищий рівень ризику. Виправлені версії: 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Для PHP 8.1 і старіших версій нові релізи не випускаються; доступні лише бекпорти вихідного коду для 7.4, 8.0 і 8.1.
Жовтневий реліз Node.js 2026 року: він виправляє 10 CVE, 4 з яких мають високий рівень. Основна помилка, CVE-2026-111497, — це вихід за межі буфера під час запису в декодері Brotli, що може забезпечити RCE. Виправлені версії: 22.23.4, 24.22.1 і 26.12.1. Node.js 20 і старіші версії досягли кінця життєвого циклу й не отримують виправлень.
GitLab CVE-2026-110264: переповнення цілого числа в компіляторі регулярних виразів дає змогу виконати код без автентифікації. Вразливість стосується GitLab CE/EE починаючи з версії 7.0 і має оцінку CVSS 10.0. GitLab.com і GitLab Dedicated уже виправлені.

Як працює плагін?

Кожна навичка дотримується однакової п’ятиетапної структури:

Інвентаризація лише для читання: агент сканує Dockerfile, базові образи, пакети дистрибутива, CI, Helm, Terraform, Packer, Lambda та засоби керування конфігураціями.
Етап затвердження: нічого не змінюється, доки ви не виберете репозиторії. Ризикованіші оновлення мінорної або мажорної версії спочатку виділяються окремо.
Перевірена ціль: кожен тег, дайджест, версія пакета й контрольна сума підтверджуються за офіційним джерелом перед редагуванням.
Тестування до і після: набір тестів запускається на поточній версії, а потім усередині нового робочого образу. Регресії зупиняють процес.
Один PR для кожного репозиторію: кожен PR містить версії, результати тестів, відмінності середовища виконання, мітку ризику та план відкату.

Навички також враховують відомі пастки під час встановлення виправлень. Debian і Ubuntu додають виправлення через бекпорт без зміни версій вище за течією, тому php -v може вводити в оману. Виправлений пакет Ubuntu 24.04 має версію 8.3.6-0ubuntu0.24.04.13. Для образів із зафіксованим дайджестом потрібен новий дайджест. Зміна require.php у Composer нічого не виправляє.

Як його встановити та запустити?

У Devin відкрийте Customize, потім Plugins, далі Browse Marketplace і знайдіть Vulnerability Fixes. Devin CLI використовує команду devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Для інших агентів виконайте npx skills add CognitionAI/devin-vuln-fixes. Користувачі Claude Code можуть додати маркетплейс і виконати /plugin install vuln-fixes@cognition-skills.

Потім сформулюйте запит звичайною мовою, наприклад: «Будь ласка, виправте мою вразливість PHP». Також працюють команди зі слешем: /fix-php-vuln, /fix-node-vuln і /fix-gitlab-vuln.

Як він порівнюється з Dependabot, Copilot Autofix і Snyk Agent Fix?

Функція	Devin Vulnerability Fixes	Оновлення безпеки Dependabot	GitHub Copilot Autofix	Snyk Agent Fix
Що виправляє	Версії PHP, Node.js і самокерованого GitLab для 3 рекомендацій	Вразливі залежності, для яких доступне виправлення, а також GitHub Actions	Сповіщення сканування коду	Результати Snyk Code
Де редагує	Dockerfile, образи, пакети дистрибутива, CI, Helm, Terraform, керування конфігураціями	Файли маніфестів і блокування	Пропозиції змін коду в репозиторії	Виправлення коду в локальних файлах; складна логіка між файлами не підтримується
Затвердження перед редагуванням	Так, спочатку інвентаризація лише для читання	Ні: після ввімкнення PR відкриваються автоматично	Не розкрито	Користувач натискає «Generate AI fix» і перевіряє результат
Перевірка	Тести до і після запускаються всередині нового робочого образу	Оцінки сумісності на основі загальнодоступних запусків CI	Не розкрито	Повторно тестує виправлення за допомогою рушія Snyk Code
Де працює	У будь-якому агенті, який читає SKILL.md	GitHub	GitHub	Вебінтерфейс Snyk і плагіни для IDE
Ліцензія	MIT, відкритий код	Не розкрито	Не розкрито	Не розкрито
Вартість	Безкоштовно	Доступно для всіх репозиторіїв GitHub	Безкоштовно для публічних репозиторіїв; для приватних потрібен GitHub Code Security	Потрібен Snyk Code; ціну не розкрито

Ці інструменти вирішують суміжні завдання. Dependabot і агенти виправлення коду працюють із залежностями застосунків і вихідним кодом. Плагін Cognition спрямований на рівень середовища виконання: базові образи, пакети ОС та інфраструктуру як код.

Основні висновки

Три навички з ліцензією MIT виправляють PHP2Shell, Node.js і GitLab CVE-2026-110264.
Перед будь-яким редагуванням виконуються інвентаризація лише для читання та етап затвердження.
Тести запускаються до і після всередині нового робочого образу.
Працює в Devin, Claude Code, Codex, Cursor та інших агентах із підтримкою SKILL.md.
Опублікованого бенчмарку частки виправлень немає; результати залежать від охоплення вашими тестами.

Перегляньте репозиторій GitHub, допис у блозі Cognition і сторінку плагіна. Також підписуйтеся на нас у Twitter і не забудьте приєднатися до нашого сабреддіту про машинне навчання зі 150 тис.+ учасників та підписатися на нашу розсилку. Стривайте! Ви є в Telegram? Тепер ви також можете приєднатися до нас у Telegram.

Потрібно співпрацювати з нами для просування вашого репозиторію GitHub, сторінки Hugging Face, релізу продукту, вебінару тощо? Зв’яжіться з нами

Перекладено автоматично з англійської. Оригінал статті — за посиланням нижче.