### ① 情报卡片 靶场环境 K8S-TARGET-12，业务命名空间内一个 SA 被授予跨命名空间读/写权限，攻击者已在该命名空间失陷一个 Pod。 ### ② 攻击面判断 命名空间本是软隔离边界，RBAC 授权越出本命名空间，使一个 Pod 身份能碰其他命名空间的对象，缺陷在授权作用域，不在网络。 ### ③ 第一次试探 以当前 SA 只读列举其他命名空间资源，确认是否越出本命名空间可见范围，不写不改。 ### ④ 真假阳性递进校验 排除正常多租户授权：先核对该 SA 本职是否需要跨 ns。只有读到无授权关系的命名空间敏感对象才判真，区分"同团队可见"与"越权"。 ### ⑤ 完整链路拆解 失陷 Pod（本 ns）→ SA 授权越界 → 只读/写访问其他命名空间的 Secret、工作负载 → 取高权身份 → 向控制面或高价值命名空间横向。单 ns 内失陷是点，跨 ns 授权把它拉成面。 ### ⑥ 底层溯源 Role 限本 ns，ClusterRole 全局。绑定作用域错误使 API Server 授权放行跨 ns 请求，Go goroutine 判定，网络