強化映像（Hardened Images）的技術構成：從 400 個套件縮減到 30 個如何消除 95% CVE
Docker Blog · 2026-06-04
Docker 發布技術深度文章，解釋強化容器映像（hardened images）與一般 slim/distroless 映像的本質差異。核心結論是：強化不只是「縮小體積」，而是三件事的組合：最小化套件數量、持續自動修補、以及可驗證的供應鏈元數據。一般用途基礎映像通常包含 400+ 個套件，而一個應用程式實際需要的只有 20–30 個，消除剩餘套件可將已知 CVE 數量降低高達 95%。
核心改動
最小化（Minimization）的效果是最直觀的：移除 shell、套件管理器、編譯器、除錯工具後，攻擊者無法透過 interactive shell 進行偵察，也無法透過 apt-get 安裝後續工具鏈。一般用途映像可能攜帶 ~200 個已知 CVE，而強化等效版本通常低於 5 個。
持續修補（Continuous Patching）與 Alpine/slim 映像的關鍵差別在於節奏：強化映像依定期排程自動重建，監測上游 library 修補與 CVE 發佈，觸發重建——而非季度性手動更新。這解決了映像「漂移（drift）」問題：一個三個月前建立的映像在今天可能已累積數十個新 CVE。
強化映像強制要求附帶三類供應鏈元數據：
- SBOM（Software Bill of Materials）：機器可讀格式，列出每個套件與版本
- 建置來源證明（Build Provenance Attestation）：SLSA Build Level 3 加密證明映像在何處、如何建置
- VEX 資料：標記哪些 CVE 在此映像中不可利用，讓安全掃描器不誤報
影響範圍
distroless 映像雖然同樣精簡，但缺乏持續修補機制，維護成本轉移到應用團隊。強化映像的對應成本是依賴映像供應者的修補節奏，以及 SBOM/attestation 管道的整合。對於需要通過 SOC 2、FedRAMP 或 PCI DSS 審計的環境，可驗證的 VEX 資料能大幅減少漏洞管理的誤報噪音，讓安全團隊聚焦在真正可利用的風險。
原始來源：Docker Blog
Meta 資料中心瞬間斷電驗證：Twine 控制平面的循環依賴與 Boomerang 效應
Meta Engineering Blog · 2026-06-03
Meta 工程團隊發表文章，說明如何在生產資料中心驗證「瞬間全面斷電（Instantaneous Power Loss Storm）」的恢復能力。不同於計劃性維護停機，瞬間斷電不會觸發有序關機序列，所有執行中的服務必須能自行重新啟動並重建協調狀態。測試揭示了兩個深層架構問題。
核心改動
第一個問題稱為 Ouroboros（自食其尾蛇）：Twine 容器編排器的控制平面元件（Scheduler、Allocator、Broker、Zelos）需要彼此啟動，形成循環依賴。斷電後，每個元件都在等待另一個元件先就緒，造成啟動死鎖。Meta 的解法是在 CI/CD 管道中引入「Belljar 測試」，自動偵測新引入的循環依賴；並建置一個專用的 recovery kit，能夠在無其他控制平面服務的情況下「jumpstart」Twine，打破啟動迴路。
第二個問題稱為 Boomerang 效應：Meta 的「Power Loss Siren」負責發出訊號，讓各 region 的服務協調進入不可用狀態（以允許安全斷電）。問題是 Siren 本身也是服務，斷電訊號傳遞時，這個訊號意外地讓 Siren 自己也進入關機序列，導致後續恢復協調失去指揮中樞。修復方式是讓控制平面服務在收到電力相關的不可用事件時，直接忽略 shutdown 訊號，改由 recovery kit 接管。
影響範圍
測試策略採用漸進擴散：先在預生產環境驗證，再在複製生產流量的 shadow region，最後以受控爆炸半徑（blast radius）在實際生產 region 測試，再擴展至承載關鍵工作負載的大型 region。Meta 強調「可靠性與速度是同一枚硬幣的兩面」——斷電恢復測試被定位為基礎設施快速迭代的必要前提，而非與速度相悖的安全稅。