本文是首项针对 Kubernetes 控制平面中第三方插件与应用程序权限过大的系统性安全研究。Kubernetes 作为当前主流的容器编排系统，其控制平面通常会运行各类第三方插件（如监控、日志、网络、存储等组件）来辅助集群管理，这些第三方应用往往被授予较高权限。作者指出，这些第三方应用的安全状况此前未被系统性地审视过，而一旦其中一个应用被攻破或存在恶意行为，攻击者可能借助其过度授权横向移动并最终控制整个集群。研究围绕“第三方应用权限过大”这一核心问题展开，分析了相关权限模型、Kubernetes 基于角色的访问控制（RBAC）机制以及第三方应用常见的权限申请模式，并提出了攻击路径的威胁建模方法。论文的主要贡献包括：首次系统性地梳理了 Kubernetes 第三方应用的安全风险面，设计了针对该风险的攻击链分析方法，并通过实验验证了在真实集群环境中利用过度权限可实现集群级接管。该工作为云原生安全领域提供了新颖的研究视角，也为 Kubernetes 集群管理员和插件开发者提供了安全加固依据。适合云原生安全研究人员、Kubernetes 运维及安全工程师阅读。

本文首次对 Microsoft 365 (M365) 第三方应用生态系统进行面向隐私与安全的系统性测量研究。M365 租户可通过 OAuth 细粒度权限授予第三方应用访问电子邮件、文件、日历、聊天和用户目录等敏感组织资源的权限，但该生态系统的安全状况此前缺乏大规模实证分析。研究者结合公开市场 API 与自动化的租户侧部署，爬取了超过 8,000 个应用，发现仅有 1,069 个应用同时公开了描述和权限集，且各官方分发渠道的透明度存在显著不一致。针对这些有完整数据的应用，作者提出一种主题感知的异常检测框架：首先利用神经主题建模对应用声明的功能进行聚类，然后在每个主题内应用无监督异常检测，识别与同级应用权限配置偏离的个体。通过 LLM 辅助分析和盲审采样，验证了权限异常与应用风险之间存在相关性。研究发现大量应用请求过宽的租户级权限范围（如目录级读写权限），明显违反最小权限原则，扩大了组织的攻击面。最后，作者提供的检测流水线能够向租户管理员标注异常应用并解释哪些权限导致了异常。该研究揭示了 M365 应用生态在权限披露和权限管控方面存在结构性的不成熟与不透明，为管理员和安全团队提供了切实可行的治理建议。