k8s (in)security

NCC Group рассказали , как с помощью LLM-assisted pipeline нашли две уязвимости в etcd . В результате исследования обнаружили CVE-2026-59818 — обход проверки отозванных сертификатов на gRPC listener , и CVE-2026-73499 — обход RBAC в Watch API , позволяющий получать события по ключам за пределами выданных прав. Интересно здесь не только сами уязвимости, но и подход к их поиску. LLM анализировал структурированный граф…

Сегодня мы также хотим поделиться с вами нашим большим внутренним праздником) Наше решение Luntry получило сертификат ФСТЭК ! Мы с 2021 года занимаемся безопасностью контейнеров и Kubernetes , и стараемся каждый год двигать нашу индустрию вперед (решением, этим каналом, нашей конференцией БеКон ) и данное событие является еще одним таким шагом. Это был трудный и долгий путь, где вся наша команда вложила много сил и…

Сегодня в центре нашего внимания свежий вайтпейпер " Kubernetes Misconfigurations in the Wild: Taxonomy, Evolution, and Automated Repair with Large Language Models " Где авторы исследуют два вопроса: 1) какие ошибки конфигурации чаще всего возникают на практике; 2) насколько хорошо LLM могут автоматически их исправлять. Для этого они анализируют обсуждения разработчиков на Stack Overflow , Helm -чарты и результаты…

Исследователи Palo Alto Networks показали интересный сценарий атаки на SPIFFE/SPIRE в Kubernetes . Если атакующий получает root на ноде, он может подменить cgroup метаданные процесса и заставить SPIRE Agent выдать ему SVID другого workload . В результате злоумышленник получает возможность использовать криптографическую идентичность скомпрометированного workload и обращаться к сервисам, доверяющим этой identity . При…

k8s-aibom - это оператор для сбора AI Bill of Materials в Kubernetes . В AI -проектах уже недостаточно знать только версии контейнеров и пакетов. Важно понимать, какие AI -модели, фреймворки и компоненты реально используются в кластере, где они запущены и от чего зависят. Что и как он идентифицирует можно почитать тут . Команда Google Cloud представила k8s-aibom — инструмент с открытым исходным кодом, который…

Docker Sandbox Kit Specification — это открытая спецификация упаковки окружения для AI -агентов вместе с декларацией того, какие доступы ему нужны. Dockerfile описывает, что установлено внутри образа. Kit дополнительно описывает, что этому окружению потребуется снаружи: сеть, учётные данные, хранилища, инструменты и контекст для агента. При этом Kit сам ничего не разрешает: он запрашивает возможности, а среда…

Docker выпустил свой официальный набор skills для работы со своими решениями: - Dockerfile & Build - Docker Compose - Docker Sandboxes - Docker Agent - Cross-Product В общем если вы активно работаете с Docker и Claude Code , Codex , Cursor , GitHub Copilot , Gemini CLI , OpenCode и т.д. то это может вам пригодиться.

Сегодняшний наш герой это runtime security агент на eBPF под названием Bombini , который целиком написанный на Rust с библиотекой Aya . Он построен на BPF LSM хуках и состоит из модульных детекторов, которые отслеживают процессы, файловые и сетевые операции, а также взаимодействие с eBPF -подсистемой ядра. Самое интересное здесь — rule engine , который целиком работает внутри eBPF в отличие от Falco , где правила…

Сконцентрировавшись на серверной части инфраструктуры, мы порой непростительно забываем про клиентскую историю. Так вот очередная уязвимость в Kubernetes , напоминает нам о том что надо защищать и патчить не только компоненты control и data plane , но и kubectl . CVE-2026-19444: kubectl cp path traversal on Windows allows arbitrary file writes CVSS Rating: CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:C/C:L/I:H/A:N Medium (6.5)…

Начнем неделю со статьи " Scale your AI workloads faster and more efficiently with GKE Pod snapshots ", которая рассказывает как в GKE можно замораживать ( checkpoint ) состояния Pod в виде snapshot и затем запускать их с этого же момента ( restore ). Более подробно можно узнать об этом из документации " Save and restore Agent Sandbox environments with Pod snapshots ". И если вам кажется, что это какая-то магия и…