InfraStack 开源威胁情报库，让 Claude Code/Cursor 写码时自动查漏洞
Scobleizer · x · 2026-11-05
InfraStack 发布了一个免费的 AI 编码智能体安全技能(Skill),适配 Claude Code、Cursor、Codex、OpenCode 和 Copilot,无需 API key 或 MCP 服务器。
其原理是让编码智能体在写代码或审查 PR 时,查询 InfraStack 的大规模威胁情报库,比对最新 CVE、恶意包和 MCP 漏洞。官方演示中,该技能对一套 Next.js+React 项目进行了可达性分析:
- React2Shell(CVE-2025-55182):已在野外被利用,checkout 的 Server Actions 暴露了有漏洞的 React Server Components 代码,需升级到 next 15.0.5;
- Next.js 图片 RCE(GHSA-2464-fhr4-w9xw):因配置允许任意 SVG 来源且自托管而可达,需升级到 15.5.28;
- axios 原型污染(CVE-2026-40175):在 bundle 中但无已知触发路径,优先级较低。
技能随后自动修改依赖版本、收紧 SVG 配置、跑测试并开出了修复 PR。
「编程与Agent」频道最新
- 上海 AI 实验室开源 Self-Harness：Agent 自查失败记录，零重训提分 54 个百分点 — Promptmethus · 2026-11-05
- Jeff Dean 创业三周面试 400 人,已有约 20 个自动化改进循环 — salgar · 2026-11-05
- 用户实测:经 T3 Code 调用 Claude Code 订阅额度消耗明显更快 — yihui_indie · 2026-11-05
- TokenFuel 推出赞助池:企业发 AI 代币激励开发者建生态 — RichardsonDx · 2026-11-05
- gstack /review 实测捕获 22/84 拦截性 bug,裸 Opus 仅 3 个 — garrytan · 2026-11-05
- OpenClaw 上海分享：从黑灯工厂到 agent 城市 Lobsterville — vincent_koc · 2026-11-05