先解析路径，再检查：20 行代码中的 Copilot MCP 配置 bug

最初发布于 webofmike.com，日期为 2026-10-21。演示仓库在发布前已实际运行过。如果你的智能体（agent）能选一个文件路径，而你的代码要判断这次写入是否允许，那就去检查两行代码的先后顺序。「先检查、后解析」是 bug，「先解析、后检查」才是修复。这就是 CVE-2026-103572 的简短版——一个存在于 Visual Studio 和 SQL Server Management Studio 的 Copilot 组件中的远程代码执行漏洞。该漏洞由 embracethered.com 披露，CVSS 评分 8.8，微软已在 2026-10-13 的补丁星期二修复。 ##