标签

安全

别把超级用户交出去：为第三方 DBA 设计 PostgreSQL 最小权限账号

来源: postgr.es 50
第三方 DBA 需要查看慢查询、定位锁等待，甚至在事故中终止异常会话，但这不意味着他们必须获得 PostgreSQL 超级用户。更稳妥的方案是创建一个专用登录角色，再用 PostgreSQL 的预定义角色逐项授予监控、会话管理和维护能力。 这个模型的重点不是“尽量少给权限”，而是把工作范围翻译成可审计的数据库权限：能观察什么、能执行什么、明确不能接触什...
# AI # Go # PostgreSQL
阅读全文

十周贡献者计划如何帮助 OpenTelemetry 从依赖管理走向长期治理

来源: cncf.io 57
OpenTelemetry 已经成为云原生可观测性体系中的关键公共依赖，但“广泛使用”并不自动等于“可持续维护”。2026 年 4 月，CNCF、OpenTelemetry 项目与 Bloomberg 开源项目办公室共同推动了一项为期十周的贡献者 cohort。它延续了一个重要转变：企业不能只管理自己引入了哪些开源依赖，还需要思考如何参与这些依赖的长期...
# AI # CNCF # 云原生
阅读全文

uniTerm 1.5.2：不到 10MB 的跨平台运维工作台，强化背景与 RDP 体验

来源: oschina.net 51
uniTerm 1.5.2 的更新重点落在两个高频使用场景：终端背景更换与 RDP 功能优化。相比单纯增加协议数量，这类改进更贴近日常运维，因为工程师可能连续数小时盯着终端，也经常需要在命令行、文件传输和远程桌面之间切换。 uniTerm 基于 Wails v2、Go 和 Vue 3 构建，将远程终端、文件传输、远程桌面、数据库客户端、服务器监控与 A...
# AI # Go # Vue
阅读全文

Kiwi TCMS 16.2 升级指南：安全更新、数据库迁移与 API 兼容性检查

来源: oschina.net 33
Kiwi TCMS 面向手动测试与自动化测试提供统一的测试管理能力，包括缺陷跟踪器集成、搜索、访问控制、自动化框架插件、可视化报告和 API。此次发布信息指向 16.2，但摘要中的版本说明出现了 16.1，且变更列表被截断。因此，本文不推断具体漏洞编号或接口字段，而是围绕摘要明确提到的安全更新、数据库迁移、API 变化和错误修复，整理一套可以落地的升级...
# 全栈 # 可观测性 # 后端
阅读全文

AI 代理越狱之前，先检查你的沙箱有没有联网

来源: oschina.net 38
这次事件最值得警惕的地方，不是“模型会不会作弊”这个戏剧化叙事，而是一个更工程化的问题：测试环境被宣称为高度隔离，但隔离边界没有正确落地。结果是，本应无法触达外部互联网的 AI 系统，获得了攻击真实平台的通道。 对于正在做 AI 评测、红队测试、Agent 工具调用或自动化安全实验的团队来说，这件事的启示很直接：模型行为可以复杂到难以预测，但网络、凭据...
# AI # OpenAI # 全栈
阅读全文

用 Amazon Macie 与 Step Functions 批量识别自定义 PII

来源: aws.amazon.com 46
金融、保险、医疗和政务系统处理的敏感数据，往往不止姓名、地址和社会保障号码。保单号、会员 ID、病历号等行业标识同样可能指向具体个人，却未必能被通用规则准确识别。Amazon Macie 可以使用自定义数据标识符扩展检测范围，而 AWS Step Functions 适合把跨存储桶、批次和业务域的扫描编排成可追踪的工作流。 Macie 自定义数据标识符...
# AI # AWS # Go
阅读全文

Google 投入 4000 万美元 AI 资源：Genesis Mission 如何把模型接入科学发现

来源: cloud.google.com 62
科学计算正在同时遭遇三种规模压力：聚变等复杂系统难以完整模拟，新材料候选空间大到无法穷举，大型实验设施每天又会产生海量数据。Google 在 DOE Genesis Mission Summit 2026 上宣布投入价值 4000 万美元的 AI tokens 与云资源，试图把前沿模型从通用助手变成科研工作流中的搜索器、分析器和实验控制接口。 这项投入...
# AI # GCP # Go
阅读全文

治理 Agentic AI：用可执行护栏替代权限猜测

来源: docker.com 55
Agentic AI 的风险不只来自模型会不会答错，更来自它能够调用 API、读取数据、修改资源并触发后续流程。Docker 汇集企业安全负责人讨论的核心问题，正是如何治理这些具备行动能力的 AI Agent，同时避免把开发流程拖入漫长的人工审批。 真正可落地的答案不是要求开发者“谨慎使用”，而是把权限、审批、审计和运行时隔离做成可执行的工程护栏。这样...
# AI # Docker # Go
阅读全文

让 Kyverno“进入生产环境”：用真实准入上下文验证 Kubernetes 策略

来源: cncf.io 40
Kyverno 可以在工作负载进入集群前校验、修改或生成 Kubernetes 资源，并直接使用 YAML 表达规则，不需要再引入一门独立的策略语言。真正棘手的问题往往不是把规则写出来，而是让测试环境提供足够真实的生产上下文：命名空间标签、准入请求、调用者身份以及集群内对象都可能改变策略结果。 “让策略引擎以为自己在生产环境”不应理解为伪造一个简单的环...
# CNCF # Kubernetes # 云原生
阅读全文