Kubernetes 作为最广泛使用的容器编排平台，通过 manifest 文件管理 Linux capabilities 来提供灵活的权限配置。然而，实际开发中开发者常依赖默认设置或粗粒度的安全上下文，违反了最小权限原则，扩大了容器化工作负载的攻击面。现有研究要么检测 Kubernetes manifest 中的脆弱模式，要么为独立的 Linux 程序推断所需 capabilities，但未直接解决 Kubernetes 中的能力最小化问题。为弥补这一空白，作者首先对三个开源数据集进行了实证研究，发现 74.67% 的项目缺乏能力配置。基于此观察，提出了 KubeCap 框架，用于 Kubernetes 能力最小化。KubeCap 将部署规范转换为确定性 manifest，定位容器入口点，执行可达性引导的系统调用分析，并利用 LLM 辅助的规则规范从 Linux 内核代码中推导 syscall-parameter-capability 关系。基于这些结果，KubeCap 推断每个工作负载所需的最小能力集，并自动生成修复后的 manifest。在 10 个基于 Go 的 Kubernetes 代表性项目上的评估显示，平均能力削减率为 54.97%，优于快速类型分析和类层次分析基线，同时保持了实际的分析成本。这些结果证明了 KubeCap 在 Kubernetes 中实施最小权限的有效性。