Kubescape 4.0 为 Kubernetes 带来运行时安全和 AI 智能体扫描

📌 一句话摘要

Kubescape 4.0 引入了正式版（GA）运行时威胁检测、统一的节点代理架构，以及针对 Kubernetes 原生 AI 智能体（KAgent）的专业安全扫描。

📝 详细摘要

Kubescape 4.0 是该 CNCF 孵化项目的一个重要里程碑，其运行时威胁检测和 Kubescape Storage 功能正式发布（GA）。此次发布聚焦 AI 时代的安全，引入了针对 KAgent（一个用于 AI 编排的 CNCF 沙箱项目）的专业扫描，以及一个供 AI 助手查询集群安全态势的插件。在架构上，它通过将主机传感器（host-sensor）和主机代理（host-agent）合并为单一的节点代理（node-agent）来简化节点安全，从而提高了稳定性和可审计性。运行时引擎现在使用基于 CEL 的规则（以 CRD 形式管理），在监控系统调用和网络事件的同时，显著降低了 CVE 噪音。

💡 主要观点

- 运行时威胁检测和 Kubescape Storage 正式发布（GA）。 运行时引擎使用通用表达式语言（CEL）规则来监控系统调用和网络事件，而存储层使用聚合 API（Aggregated API）将安全元数据保留在 etcd 之外，以实现更好的扩展性。

引入针对 AI 编排框架的专业安全扫描。 Kubescape 4.0 专门为 KAgent 增加了 15 项基于 OPA/Rego 的控制措施，以应对诸如控制器权限过高以及 AI 模型未经授权访问基础设施等风险。

架构整合为单一节点代理。 移除了侵入式的主机传感器，并将主机代理的功能整合到一个统一的节点代理中，使得安全态势更加稳定且易于审计。

通过 KAgent 插件实现 AI 助手的原生集成。 一个新的插件允许 AI 智能体直接检查漏洞清单和容器行为，从而实现自动化的故障排查和安全态势管理。

💬 文章金句

- 这是该项目首次在现有的扫描功能之外，将目标对准了 AI 智能体自身的安全。

我们需要强大的安全护栏，以防止智能体利用它们进行高风险操作，例如未经授权的访问或删除生产数据。
最终结果是每个节点只有一个代理，Hirschberg 认为这使得安全态势既更稳定又更易于审计。

📊 文章信息

AI 评分：87

来源：InfoQ

作者：Matt Saunders

分类：人工智能

语言：英文

阅读时间：4 分钟

字数：801

标签： Kubernetes, 云原生安全, Kubescape, AI 智能体, KAgent

阅读完整文章

Kubescape 4.0 为 Kubernetes 带来运行时安全和 AI 智能体扫描

🤖 問 AI