该论文针对大语言模型（LLM）智能体从聊天界面走向基础设施运维这一现实趋势，提出了一个在 Kubernetes 上安全承载 AI 智能体的纵深防御框架与参考架构。作者指出，当智能体能够读取遥测、调用工具、生成并执行代码、直接改变生产 K8s 集群状态时，传统云原生安全所依赖的『数据与控制面分离』假设已经崩塌：智能体仅仅是『读取』的内容——一行日志、一张工单、一段工具描述——就可能改变它接下来的行为。因此论文的核心立场是：模型本身不能被视为安全边界，智能体安全本质上是基础设施问题，所有安全保证必须在『智能体已被提示注入完全攻陷』的假设下依然成立。围绕这一立场，论文给出五项贡献：(1) 面向 K8s 内部与之上运行智能体的威胁模型与十类威胁分类法，并与 OWASP 关于智能体应用的新兴指南对齐；(2) 九条设计原则，核心是在工具边界实现完全中介（complete mediation），并打破『不可信输入 + 敏感访问 + 对外出口』三者的组合；(3) 七层纵深防御框架，将每条原则映射到原生或广泛采用的 K8s 机制上，包括工作负载身份、RBAC 与 ValidatingAdmissionPolicy、通过 SIG Apps Agent Sandbox 项目实现的 gVisor/Kata 沙箱、支持 FQDN 的出站策略、对工具参数做 policy-as-code 的 agent/MCP 网关，以及 eBPF 运行时强制；(4) 一套参考架构，含具体策略工件以及面向 Amazon EKS、Azure Kubernetes Service、Google Kubernetes Engine 的分层绑定；(5) 定性评估，包括威胁—控制覆盖矩阵、四个攻击情景走查以及一套拟议的实证方法论。论文明确表示不报告实测的攻击成功率或性能开销数据，而是识别残余风险并指出验证该框架所需的度量指标。适合平台安全、云原生安全、AI 基础设施与 SOC 团队阅读。

本文是首项针对 Kubernetes 控制平面中第三方插件与应用程序权限过大的系统性安全研究。Kubernetes 作为当前主流的容器编排系统，其控制平面通常会运行各类第三方插件（如监控、日志、网络、存储等组件）来辅助集群管理，这些第三方应用往往被授予较高权限。作者指出，这些第三方应用的安全状况此前未被系统性地审视过，而一旦其中一个应用被攻破或存在恶意行为，攻击者可能借助其过度授权横向移动并最终控制整个集群。研究围绕“第三方应用权限过大”这一核心问题展开，分析了相关权限模型、Kubernetes 基于角色的访问控制（RBAC）机制以及第三方应用常见的权限申请模式，并提出了攻击路径的威胁建模方法。论文的主要贡献包括：首次系统性地梳理了 Kubernetes 第三方应用的安全风险面，设计了针对该风险的攻击链分析方法，并通过实验验证了在真实集群环境中利用过度权限可实现集群级接管。该工作为云原生安全领域提供了新颖的研究视角，也为 Kubernetes 集群管理员和插件开发者提供了安全加固依据。适合云原生安全研究人员、Kubernetes 运维及安全工程师阅读。