安全团队一直面对一个尴尬的时间差：从得知某个开源组件有严重漏洞，到真正在生产环境部署好补丁，中间要经过扫描、测试、变更审批等流程；这段“补丁空档”正是攻击者最活跃的窗口。Log4Shell 过去四年后仍有生产环境存在受影响的实例，说明只靠打补丁不够快。文章提出用 eBPF 在应用运行时层面加一层临时防护：它能观察进程、网络和文件访问，并在不改应用代码的情况下实时拦截针对该漏洞的利用行为，等正式补丁验证上线后再撤掉。对读者来说，这意味着在补丁排队期间也有可用的临时防线；不过文中提到的 Cilium/Tetragon 和 Cisco Live Protect 属于已有或厂商推进中的方案，具体可用程度原文未逐一说明。
文中可用工具
- eBPF在 Linux 内核层挂载小程序，观察进程、网络和文件访问并执行策略，不改应用代码
- Cilium基于 eBPF 的容器网络方案
- TetragonCilium 子项目，在内核层观察进程执行、网络活动和文件访问并实时执行策略
- Live ProtectCisco 的架构，把工作负载层面的防护扩展到防火墙和网络交换机
展开详情收起详情：填补补丁空档：漏洞利用不会等补丁星期二⌄
The New Stack
原文发布：2026-10-31 22:00收录：2026-11-01
Fortanix 为 Kubernetes 机密容器（CoCo）做了一套集成，把“证明这个程序可信”和“发放解密密钥”这两步连了起来，主要面向跑 AI 任务的工作负载。以前证明结果和密钥释放是两套东西，现在能自动衔接：只有通过验证的工作负载才拿得到密钥。GPU 验证相关的设置会影响实际保护强度，另外还有上游 Trustee 和 Azure Secure Key Release 两条替代路径。读者能拿到的好处是：在 Kubernetes 上跑敏感 AI 负载时，可以更放心地依赖硬件证明来控制数据解密权限。原文未说明具体发布时间、可用状态和性能数据。
文中可用工具
- Fortanix提供机密容器集成，把工作负载证明与解密密钥释放连起来
- Kubernetes Confidential Containers在 Kubernetes 上运行受硬件保护的机密容器
- Trustee上游的基于证明的密钥释放方案，作为替代路径
- Azure Secure Key ReleaseAzure 提供的基于证明的密钥释放替代方案
展开详情收起详情：Kubernetes 机密容器引入 Fortanix 远程证明与密钥管理⌄
InfoQ Architecture & Design
原文发布：2026-10-31 16:18收录：2026-11-01
InfoQ 的 Michael Redlich 汇总了 2026 年 10 月 19 日那一周 Spring 生态的动态。核心情况是：Spring 家族一批项目同时进入“首个候选版本”阶段，也就是离正式版只差最后一步测试。此次涉及的包括 Spring Boot、Framework、Data、Cloud、Security、AI、Modulith、Batch、Session、Integration 等十余个项目。这说明整个 Spring 生态在同步推进版本更新，使用这些框架的开发者可以开始按候选版本做升级测试。原文只是粗略罗列，没有说明各项目的具体新特性、发布时间表和已知问题。
展开详情收起详情：Spring 新闻汇总：Boot、Framework、Data、Security、Modulith、AI 首批候选版本发布⌄
InfoQ Architecture & Design
原文发布：2026-10-31 21:30收录：2026-11-01