Kubernetes 作为主流的容器编排系统，拥有庞大的第三方应用生态。这些应用通过 RBAC 机制访问集群资源，但往往被授予过度权限，造成安全隐患。已有研究提出了过度权限攻击，但假设攻击者已通过容器逃逸攻陷工作节点，现实中难以实现。本文提出一种新的过度权限攻击模型，攻击者只需攻陷一个 Pod（难度低于攻陷节点），即可利用某些过度权限接管工作节点，或破坏其他 Pod 的可用性与数据机密性。针对第三方应用过度权限难以检测的问题，作者提出 EPScan 方法，自动检测可被利用的过度权限。EPScan 创新地采用面向 Pod 的程序分析技术，精准识别每个 Pod 中程序的资源访问行为，并与配置文件中请求的权限进行比较，最终报告可被滥用于执行过度权限攻击的权限。作者在来自 CNCF 项目的 108 个第三方应用上测试 EPScan，发现了 50 个应用中 106 个 Pod 存在此前未知的可利用过度权限，检测精度达 94.6%，并获得了 9 个 CVE 编号。该方法为 Kubernetes 安全运维提供了有效检测手段，适合云原生安全研究人员、集群管理员和 DevOps 工程师阅读。