### ① 情报卡片 靶场环境 K8S-TARGET-16，集群允许从公共仓库拉取未锁定摘要的镜像，某基础镜像标签被替换为含恶意内容的同名版本，环境脱敏。 ### ② 攻击面判断 未锁摘要的浮动标签可被覆盖，节点下次拉取拿到被替换镜像。缺陷在来源不受限与标签可变性，不在运行中的业务代码。 ### ③ 第一次试探 核对集群是否允许公共源、镜像是否只按标签引用，只读检查部署清单的镜像引用方式，不推送任何镜像。 ### ④ 真假阳性递进校验 排除误配：锁定摘要的镜像不可被标签覆盖。确认引用为浮动标签且来源白名单缺失才判真，区分"用了公共镜像"与"可被覆盖投毒"。 ### ⑤ 完整链路拆解 公共源无白名单 + 浮动标签 → 同名标签被替换（机制描述，不含投毒步骤）→ 节点重拉取到被替换镜像 → Pod 运行恶意内容 → 借该 Pod 的 SA 权限横向。投毒在进入前完成，集群内只是执行。 ### ⑥ 底层溯源 kubelet 按标签向仓库请求清单，仓库返回当前标签指向的层，运行时解压运行。无摘要钉住则内容可变，Go goroutine 拉取，非内存破坏。 ### ⑦ 业