Kubernetes v1.36：Service ExternalIPs 廢棄，CVE-2020-8554 原罪終止
kubernetes.io · 2026-05-14
Kubernetes v1.36 正式宣告廢棄 Service 物件的 .spec.externalIPs 欄位，預計在未來某個 minor release 中從 kube-proxy 移除實作，並更新一致性測試為要求實作不支援此欄位。此欄位因 CVE-2020-8554 的安全缺陷，從 v1.21 起即被建議停用，此次廢棄是對五年悬案的正式收尾。
漏洞機制
externalIPs 設計假設所有叢集用戶完全可信——一般使用者可以在 Service 的 spec.externalIPs 欄位填入任意 IP 位址，讓 kube-proxy 將發往這些 IP 的流量攔截並導向該 Service 的後端 Pod。在多租戶環境中，惡意用戶可用此機制劫持他人持有的 IP 位址，包括叢集內其他 Service 的 Cluster IP、節點 IP，甚至 Load Balancer 的外部 IP。此 CVE 在 2020 年評定後，Kubernetes 專案即建議以 DenyServiceExternalIPs Admission Controller 攔截此欄位，但並未立即進行廢棄動作。
遷移路徑
官方推薦的替代方案是手動管理型 LoadBalancer Service：
apiVersion: v1
kind: Service
spec:
type: LoadBalancer
loadBalancerClass: non-existent-class # 防止控制器接管
ports:
- port: 80接著以 kubectl patch 手動更新 .status.loadBalancer.ingress[].ip。此設計的安全優勢在於 IP 位址存在於 .status（唯有 controller 與 cluster-admin 可寫），而非 .spec（普通用戶可能有寫入權限）。另一個替代是採用非雲端 Load Balancer Controller（如 MetalLB、Cilium LB IPAM），這些工具在 RBAC 層面對 IP 分配有適當的存取控制。
影響範圍
建議運行者執行 kubectl get svc --all-namespaces -o json | jq '.items[] | select(.spec.externalIPs != null)' 稽核叢集中的使用現況，並啟用 DenyServiceExternalIPs Admission Controller 攔截新的使用。實際移除預計在 v1.38 或 v1.39（Kubernetes 通常提供 2–3 個版本的廢棄視窗），屆時 kube-proxy 將停止為 externalIPs 設定 iptables/eBPF 規則。
原始來源：kubernetes.io
AI 代理成為 KubeStellar 貢獻者：五層成熟度模型達成 81% PR 接受率
cncf.io · 2026-05-14
CNCF Sandbox 專案 KubeStellar 的首席維護者 Andy Anderson 記錄了他在 82 天內以 AI 代理為主力開發 KubeStellar Console（多叢集管理儀表板），最終達到 81% 的 PR 接受率的過程。這個數字來自 merge 次數除以（merge + close）總次數，反映的不是程式碼本身的品質，而是周邊基礎設施引導 AI 代理的有效程度。
AI Codebase 成熟度模型
Anderson 將開發過程的方法論抽象為五層成熟度模型：
- Instructed：外部化偏好——透過
CLAUDE.md與開發指引，捕捉每次 PR 被拒絕的原因並提煉為代理的行動指令 - Measured：測試先行——32 個夜間測試套件、91% 覆蓋率、12 個分片並行，把測試當成「代理可信度的層次」而非品保工具
- Adaptive：品質自動化——依接受率資料動態調整測試套件的輪替權重
- Self-Sustaining：將維護者判斷編碼進指令檔與測試，讓代理能在無人監督下自主運行
- Questioning：根因分析——把「修這個」換成「為什麼你沒有發現這個？」，驅動代理改進自身的偵測能力
核心洞見
Anderson 強調：「AI 輔助代碼庫的智慧不在模型，而在代碼庫包裹在模型外的迴圈中。」81% 的接受率並非來自更好的模型，而是來自更好的測量與反饋系統。確定性測試（deterministic tests）在其中扮演關鍵角色——模糊的人工判斷無法成為穩定的反饋訊號，而客觀的測試失敗則可以。
原始來源：cncf.io
Android 2026 安全強化：銀行通話驗證、即時威脅偵測與後量子加密
blog.google · 2026-05-15
Google 在 2026 年 I/O 前後發布年度 Android 安全與隱私功能清單，主要更新集中在金融詐騙防護、動態威脅偵測、防竊升級，以及 Android 17 上的後量子密碼學（PQC）整合。
金融詐騙防護：驗證銀行通話
Android 推出通話身份驗證機制：當來電顯示為某銀行號碼時，Android 詢問該銀行的官方應用程式「你們現在正在打電話給這個用戶嗎？」若應用程式確認無此通話，系統直接中斷來電。初期合作銀行包括 Revolut、Itaú、Nubank，支援 Android 11 以上版本。此機制在技術層面依賴銀行應用程式透過 Play Services 的安全頻道回應查詢，不依賴電話網路本身的信任基礎。
動態威脅偵測
裝置端 AI 安全功能（Play Protect）的動態訊號監控能力擴展至偵測多類可疑行為：簡訊轉發（攔截 OTP 的常見手法）、無障礙服務覆蓋濫用（截圖/鍵盤記錄的常見機制）、圖示隱藏與背景啟動（惡意程式的存活技術）。這些功能在 Android 17 設備的 H2 2026 推出，依賴裝置端 ML 模型而非雲端查詢。
PQC 與其他強化
Android 17 預設停用 2G（disable_2g toggle 預設 off），防範 IMSI catcher 攻擊。後量子密碼學整合讓 Google 核心應用程式使用 NIST 標準化的 PQC 演算法進行加密，為未來量子電腦威脅提供前向安全。Binary Transparency 帳本提供 Google 官方應用程式的密碼學認證鏈，讓第三方可驗證應用程式是否為真正的 Google 出品。
原始來源：blog.google/security