搜索归档

Kubernetes 安全要点：网络配置错误——看不见的攻击面

Dynatrace 发文指出，Kubernetes 集群默认允许任意 Pod 互相访问。若没有定义 NetworkPolicy 并由网络插件真正执行，一个只负责网页的 Pod 也能直连数据库，哪怕它根本不需要。文章用有漏洞的示例应用和开源工具 Kimera 演示：攻击者从被攻陷的前端 Pod 出发，能通过 DNS 发现全部 16 个服务，并连上数据库、缓存和 Kubernetes API。随后用 NetworkPolicy 阻断这些路径，验证策略是否真的生效。对读者的用处是：如果你在运行 Kubernetes，应先检查命名空间里有没有网络策略，而不是只加固单个容器，因为去掉全部权限的 Pod 照样能访问别的服务。

使用 DatadogInstrumentation 管理 Kubernetes 可观测性

Datadog 的工程师发布了一个叫 DatadogInstrumentation 的 Kubernetes 自定义资源配置，把应用的指标检查、日志收集和调用链追踪（APM）配置统一放到一个 Kubernetes 资源里。过去这些设置分散在 Pod 注解和 Agent 配置文件里：改注解要重新部署应用，改 Agent 配置要找平台团队并可能重启 Agent。现在应用团队可以在自己的 GitOps 流程里改这份配置，运行时生效，不用重启应用或 Agent，平台团队仍管 Agent 部署。配置写错时 kubectl apply 会直接报错，还能通过状态条件（ChecksReady、LogsReady、APMReady）排查问题。

Groundcover 自动调整 Kubernetes 资源规格，工程师设定边界

Groundcover 公司推出了一项名为 Autonomous Infrastructure 的测试版功能，用来自动调整 Kubernetes 上各个应用该申请多少 CPU 和内存。过去这些数值靠工程师在部署时估算，之后再没人回头看，结果常常要么申请太多白花钱，要么申请太少导致卡顿甚至崩溃。这个测试版用公司已有的 eBPF 传感器收集的生产数据，持续观察实际用量并给出调整建议，同时把改动对成本和性能的影响展示给工程师，边界仍由人来定。对读者来说，如果所在团队管理大量 K8s 工作负载，这可能减少手工核算资源的时间，但该功能目前是测试版，节省金额只是按标价估算，实际账单能降多少还取决于其他因素，文中也未说明正式发布时间。

面向 Agent 的 Harness：全新平台体验登场

Harness 重新打造了它的软件交付平台，重点是把 AI Agent 当成流水线里的“正式员工”。以前平台是按人干活设计的，Agent 要融入构建、审批、质检这些真实流程并不容易，配置也容易碎片化。这次他们用一个统一的流水线模型、容器化步骤、带版本管理的模板，以及统一的 Delegate 执行器，让 Agent 和人在同一套审批、政策和审计下工作。对读者的意义是：如果你用 Harness 管发布，Agent 可以在受管控的范围内自动干活，配置更简单、步骤可固定版本、升级更省心。目前这些改进以早期访问形式提供，具体何时全面可用原文未说明。

无障碍声明在 GitHub 上有了归属

GitHub 现在会在仓库页面上识别并显示 ACCESSIBILITY.md 文件，让项目有一个固定位置记录无障碍目标、已知障碍、支持的环境、贡献者要求和问题报告流程。以前这类信息散落在 issue、审计报告和团队口口相传中，用户遇到障碍得自己到处找，维护者也容易随人员变动丢失上下文。现在维护者可以从 Insights 的社区标准页面生成一份简短模板，新仓库还会默认带上 accessibility 标签来归类相关工作，公开项目也能从组织的 .github 仓库继承声明。读者能更快找到某项目支持哪些辅助技术、有哪些变通办法、发现问题该找谁，但它只是一个声明，不等于已经通过无障碍标准认证。

Leapwork Play 正式发布，为 Playwright 测试提供治理能力

Leapwork 公司推出的 Leapwork Play 现已正式发布（GA），它在可移植的 Playwright 测试之上增加了需求追溯和审批流程。以前 Playwright 测试虽然好用，但企业难以追踪每条测试对应哪个需求、谁批准过变更，审计时也说不清楚；现在这些环节被纳入流程管理。不过完整的治理与审计功能需要购买企业版套餐。对使用 Playwright 的团队来说，这意味着测试管理更规范，但能否用全功能取决于是否采购企业版。

Whip：面向 Herdr 多路复用器的移动端 SSH 与 AI 编程 Agent 客户端

kosumic/whip · Whip is an agent-native SSH mobile client, designed specifically for the Herdr multiplexer from day one

Whip 是一个面向 Agent 的 SSH 移动客户端，从设计之初就专门适配 Herdr 多路复用器。它通过 SSH 连接远程主机，在 Android 与 iOS 原生界面中监督 Herdr 的 hosts、spaces、tabs、panes 与各 Agent 状态，支持与 Claude Code、Codex、OpenCode、Pi 对话，查看工具调用与 Git 差异，浏览和传输远程文件，使用终端标签页，并可选用基于 Herdr 插件的端到端加密推送通知。项目基于 React Native + Expo 与 Rust 核心实现。

PokeTokenBar：macOS 菜单栏 AI 编程 Token 用量追踪与宝可梦养成

chattymin/PokeTokenBar · Use your tokens to raise, evolve, and collect Pokémon! 🥚

PokeTokenBar 是一款 macOS 14+ 菜单栏应用，它读取 Claude Code、Codex、Gemini CLI、Cursor 等多种 AI 编程工具的本地日志，统计当日 Token 消耗、费用以及官方的 5 小时和每周用量限制与重置倒计时，并据此在菜单栏或桌面养成宝可梦：消耗 Token 孵化蛋、按真实进化链进化、毕业收录进图鉴，还包含糖果、商店与稀有闪光等收集玩法。