Манифест Secret в git закодирован всего лишь в base64, а один привилегированный контейнер может захватить весь узел. Этот навык находит такие проблемы и еще девять рискованных настроек в ваших манифестах Kubernetes и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для ваших YAML-манифестов: Deployments, StatefulSets, DaemonSets, Jobs, CronJobs, Pods, Services и Secrets, включая init-контейнеры, файлы kind: List и многодокументные файлы. Он выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта. Значения секретов никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• K01: привилегированный контейнер

• K02: пароль, токен или ключ, записанный открытым текстом в значении env

• K03: манифест Secret с реальными значениями data или stringData

• K04: монтирование через hostPath сокета среды выполнения контейнеров или корня узла

REVIEW (проверить перед релизом)

• K11: образ без тега или с тегом :latest

• K12: hostNetwork, hostPID или hostIPC

• K13: контейнер, который может работать от root

• K14: опасные capabilities, например SYS_ADMIN или ALL

• K15: монтирование через hostPath системной папки узла

• K16: нет лимита памяти

• K17: порт базы данных, открытый через LoadBalancer или NodePort

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник по правилам: для каждого правила указаны причина и более безопасный вариант

• Рискованный и безопасный примеры манифеста, а также реальный отчет, который сканер выдает по рискованному примеру

Ограничения

Он читает текст YAML. Он не рендерит шаблоны Helm и оверлеи Kustomize и не видит admission-политики или то, что реально запущено в кластере. Статус NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив, в нем 8 файлов: SKILL.md, сканер в scripts/ (3 файла на Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (2 файла-примера плюс report.md, реальный отчет сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.