VulnBump：AI 智能体能修复有漏洞的依赖而不弄坏构建吗？

Snyk 发布了一个叫 VulnBump 的新测试基准，用来考察 AI 智能体能不能把项目里有漏洞的第三方依赖升级到安全版本。以前升级依赖很难：多数有漏洞的包是被间接引入的，约四分之一修复需要跨大版本，连小版本升级也常导致构建失败，所以虽然 94% 的漏洞都有已知修复版本，实际只有约 10% 被解决。VulnBump 用 307 个真实升级任务来考智能体，只有漏洞消失、项目仍能安装、构建并通过测试才算通过。结果显示：同一个 Claude Sonnet 5.5 模型，配上 Snyk 数据后通过率能提高约 18 个百分点，而 Snyk 专用智能体通过率达到 90.2%。对开发者的用处是：想安全修漏洞，光靠通用 AI 不够，还要有准确的升级建议和扫描验证。