Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →18 papers
面向2026年云原生与生成式AI环境的DevSecOps体系：从软件供应链安全到持续验证的统一方法
DevSecOps 在2026年已从“把安全嵌入CI/CD”的工程口号，演化为面向云原生、生成式AI、软件供应链与零信任运行时的系统性安全工程范式。本文提出一种面向2026年威胁环境的DevSecOps统一方法，强调将代码安全、依赖完整性、构建隔离、制品签名、部署策略、运行时监测与反馈闭环纳入同一验证框架。与传统以扫描为中心的做法不同，本文将DevSecOps形式化为约束优化问题：在满足交付频率与变更吞吐的同时，将供应链篡改、配置漂移、密钥泄露、容器逃逸与AI辅助社会工程等风险降至可接受阈值。我们构建了一个分层威胁模型，覆盖源码、构建、制品、编排、运行时和观测管道，并结合SLSA、SBOM、Sigstore、OpenSSF Scorecard、OPA/Gatekeeper、Kyverno、eBPF监控与CNAPP能力，设计可落地的控制组合。本文进一步给出一套可实现的参考架构、GitHub Actions与GitLab CI配置模式，以及在一个包含微服务、容器镜像与基础设施即代码的样本环境中的实验评估。结果表明，相较于仅依赖SAST/DAST的基线方案，所提方法能显著提升构建可信度、缩短漏洞修复闭环并降低高危供应链事件暴露面，同时保持可接受的交付开销。最后，本文结合2026年真实攻击手法与防御实践，讨论生成式AI带来的社会工程放大效应、软件签名体系的组织治理问题，以及后量子密码迁移对DevSecOps平台的影响。
Read paper →DevSecOps面向2026年云原生软件供应链的DevSecOps体系：以“左移+运行时反馈”闭环降低CI/CD与AI辅助开发风险的实证研究
随着云原生架构、基础设施即代码、容器编排、GitOps 以及生成式 AI 辅助开发在 2026 年成为主流，DevSecOps 已从“把安全工具接入流水线”的工程实践，演化为覆盖需求、设计、编码、构建、部署、运行与响应的持续控制体系。本文以 2026 年的软件供应链威胁态势为背景，研究 DevSecOps 在真实企业环境中的可操作方法，重点分析依赖投毒、构建环境污染、机密泄露、镜像篡改、签名绕过、权限漂移、Kubernetes 运行时逃逸以及 AI 生成代码引入的新型逻辑缺陷等问题。我们提出一种“政策即代码—证据即数据—运行时即反馈”的闭环 DevSecOps 方法，将 SAST、SCA、DAST、IaC 扫描、容器基线检测、SBOM、签名验证、eBPF 运行时监测与集中式证据链联动，形成可度量的风险压缩机制。方法上，本文给出威胁模型与形式化定义，将安全缺陷映射为可计算的控制覆盖率、平均修复时间、策略违例密度和供应链完整性得分，并设计适用于 GitHub Actions、GitLab CI、Jenkins、Argo CD 与 Kubernetes 的落地实现方案。实验部分基于一个包含 128 个微服务、2,400 次构建、17,000 个依赖项与 96 个基础设施模块的中型云原生环境，评估了该方法对已知漏洞、配置漂移和高危机密暴露的检测与抑制能力。结果表明，引入签名校验、SBOM 比对、政策门禁和运行时告警后，未授权制品进入生产的概率显著下降，平均修复时间与高危缺陷逃逸率均得到明显改善。本文最后结合 2024–2026 年的真实供应链攻击事件，讨论 DevSecOps 在 AI 时代的局限、治理要求与未来发展方向，包括面向 LLM 开发管线的安全基线、可验证构建、后量子迁移准备与 eBPF 驱动的自适应防御。
Read paper →DevSecOps面向2026威胁格局的DevSecOps体系：基于供应链安全、AI辅助检测与零信任管道的实证研究
DevSecOps在过去十年中从理念演化为现代软件交付体系的核心安全架构。随着云原生技术、软件供应链攻击以及生成式AI驱动的社会工程与自动化漏洞利用的兴起，传统“开发—测试—部署—再补丁”的安全模式已难以应对持续交付环境中的高频风险。2020—2026年间，SolarWinds供应链攻击、Log4Shell漏洞（CVE‑2021‑44228）、MOVEit漏洞（CVE‑2023‑34362）以及2024年XZ Utils后门事件（CVE‑2024‑3094）等重大安全事件，系统性地暴露了软件构建、依赖管理与CI/CD管道中的结构性弱点。DevSecOps试图通过将安全控制嵌入开发生命周期，实现“Shift‑Left”与“Shift‑Right”的持续安全验证，但其在大规模组织中的落地仍面临工具碎片化、误报率高、供应链可信度不足以及自动化安全策略难以量化等问题。 本文从攻击者视角与防御工程实践出发，对2026年前主流DevSecOps架构进行系统分析，并提出一种面向云原生环境的分层安全流水线模型。该模型结合软件物料清单（SBOM）、SLSA构建完整性框架、Sigstore签名体系、AI辅助静态分析以及基于eBPF的运行时检测技术，实现从代码提交到生产运行阶段的全链路安全控制。本文首先构建了DevSecOps环境的威胁模型，对CI/CD基础设施、依赖仓库、容器镜像和部署集群进行形式化风险建模，并给出攻击概率与影响的量化函数。随后提出一种可操作的实施方法，包括安全策略编排、自动化漏洞门禁（security gates）以及供应链完整性验证。 在实验部分，我们在Kubernetes与GitHub Actions环境中部署完整DevSecOps流水线，整合CodeQL、Semgrep、Trivy、OWASP ZAP、Syft、Cosign和Falco等工具，对超过120个真实开源项目进行测试。结果表明，该体系可将平均漏洞修复周期缩短43%，并将高危漏洞进入生产环境的概率降低约71%。此外，通过AI辅助规则生成与SBOM差异分析，能够显著减少安全扫描误报。 研究表明，DevSecOps在2026年的关键挑战已从工具整合转向供应链信任与自动化决策。未来研究需要关注AI生成代码的安全审计、后量子密码在软件供应链中的应用，以及基于策略即代码（Policy‑as‑Code）的安全治理模型。
Read paper →DevSecOps基于 MITRE ATT&CK 的多阶段相关性和经验性证据驱动的风险导向 DevSecOps 架构，适用于云原生 CI/CD 流水线
TITLE: 基于 MITRE ATT&CK 的多阶段相关性和经验性证据驱动的风险导向 DevSecOps 架构，适用于云原生 CI/CD 流水线 ABSTRACT: 云原生架构和高度自动化的 CI/CD 流水线日益普及，显著扩大了与软件开发生命周期相关的攻击面。广泛记录的事件，包括供应链被入侵和大范围漏洞利用，表明当安全控制未与上下文优先级排序和行为关联机制集成时，孤立的安全控制是不足够的。本文提出一种风险导向的 DevSecOps 架构，该架构集成了静态代码分析、依赖项分析、SBOM 生成与验证、基础设施即代码验证、运行时行为检测以及形式化的上下文风险计算引擎。该架构采用 MITRE ATT&CK 框架作为本体，用于贯穿整个开发与执行流水线的多阶段事件关联。我们对仅基于 CVSS 的方法局限性进行了批判性分析，表明缺乏运行上下文化往往会导致漏洞优先级排序不当和告警疲劳。我们提出将风险形式化为一个复合函数，其由 EPSS 估计的利用概率、归一化技术影响以及动态运行暴露因素共同决定。我们给出了对手的形式化定义、构建阻断机制的正确性性质，以及对手技术之间的概率关联模型。该架构在 Kubernetes 环境中实现，使用了 GitLab CI、SonarQube、Semgrep、Trivy、Syft、Grype、OWASP ZAP、Falco、Suricata 和 Open Policy Agent。我们在两个不同组织域中的一组企业微服务上，对该系统进行了为期六个月的实证评估。结果表明，平均修复时间持续下降，误报率相对减少，且对总构建时间的运行时影响有限。实证结果表明，将形式化风险建模、威胁情报与策略自动化相结合，能够显著提升云原生环境中 DevSecOps 项目的运行效能。
Read paper →DevSecOps标题：面向威胁的 DevSecOps：在 CI/CD 流水线中集成基于 MITRE ATT&CK 的 SAST、DAST、SCA 与行为遥测的形式化架构
标题：面向威胁的 DevSecOps：在 CI/CD 流水线中集成基于 MITRE ATT&CK 的 SAST、DAST、SCA 与行为遥测的形式化架构 摘要：云原生架构和持续集成/持续交付（CI/CD）流水线的大规模采用，深刻改变了软件开发流程。然而，当安全机制未被系统性地纳入开发生命周期时，这种自动化会显著扩大攻击面。SolarWinds 供应链被攻陷以及 CVE‑2021‑44228（Log4Shell）漏洞被利用等广泛记录的事件表明，在代码安全、依赖项安全与运行时监控之间缺乏集成，可能导致大规模入侵。尽管静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）工具已在 DevSecOps 流水线中得到广泛应用，但其孤立运行往往会产生大量告警，并使基于真实风险的优先级排序变得困难。本文提出一种面向威胁的 DevSecOps 架构，将安全扫描结果与行为遥测及对 MITRE ATT&CK 框架的系统映射相结合。我们通过结合严重性指标（CVSS）、运行时观察到的利用证据以及应用的上下文关键性，对 CI/CD 流水线中的残余风险计算进行了数学形式化。我们引入了一种自适应优先级排序算法，将静态阶段检测到的漏洞与来自 Falco 和 Suricata 等检测与可观测性系统的行为指标进行关联。我们在基于 GitLab CI/CD、Kubernetes 以及广泛使用的应用安全工具（包括 Semgrep、SonarQube、Trivy、Checkov 和 OWASP ZAP）的企业环境中实现了所提出的架构。我们对该方法进行了实证评估，涵盖 120 条流水线、48 个微服务，以及在六个月内约 320 万行代码。结果表明，平均检测时间（MTTD）、平均修复时间（MTTR）以及生产环境中关键漏洞的发生率均显著降低。我们还观察到，当优先级排序由行为遥测和威胁情报驱动时，误报率也大幅下降。这些结果表明，将代码分析、供应链安全与基于 MITRE ATT&CK 的行为检测进行系统性关联，能够在现代 CI/CD 流水线中以可度量的方式降低运行风险。
Read paper →DevSecOps题目：面向威胁的 DevSecOps：在 CI/CD 流水线中集成 SAST、DAST、SCA 与基于 MITRE ATT&CK 的行为遥测的形式化架构
题目：面向威胁的 DevSecOps：在 CI/CD 流水线中集成 SAST、DAST、SCA 与基于 MITRE ATT&CK 的行为遥测的形式化架构 摘要：云原生架构以及持续集成与持续交付（CI/CD）流水线的大规模采用，深刻改变了软件开发流程。然而，当安全机制未能系统性地融入开发生命周期时，这种自动化会显著扩大攻击面。诸如 SolarWinds 供应链被攻陷以及 CVE‑2021‑44228（Log4Shell）漏洞被利用等广泛记录的事件表明，若在代码安全、依赖安全与运行时监控之间的集成存在缺陷，可能导致大规模受影响。尽管静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）工具已在 DevSecOps 流水线中被广泛使用，但其孤立运行通常会产生大量告警，并使基于真实风险的优先级排序变得困难。本文提出一种面向威胁的 DevSecOps 架构，将安全扫描器的结果与行为遥测以及对 MITRE ATT&CK 框架的系统映射相结合。我们通过结合严重性度量（CVSS）、运行时可观察到的利用证据以及应用的上下文关键性，对 CI/CD 流水线中的残余风险计算进行了数学形式化。我们引入一种自适应优先级排序算法，将静态阶段检测到的漏洞与来自 Falco 和 Suricata 等检测与可观测性系统的行为指标进行关联。我们在一个基于 GitLab CI/CD、Kubernetes 以及广泛使用的应用安全工具的企业环境中实现了所提出的架构，包括 Semgrep、SonarQube、Trivy、Checkov 和 OWASP ZAP。我们在六个月内对 120 条流水线、48 个微服务以及约 320 万行代码进行了实证评估。结果表明，平均检测时间（MTTD）、平均修复时间（MTTR）以及生产环境中关键漏洞的发生率均显著降低。当优先级排序由行为遥测和威胁情报驱动时，我们还观察到误报率大幅下降。这些结果表明，将代码分析、供应链安全与基于 MITRE ATT&CK 的行为检测进行系统性关联，能够以可衡量的方式降低现代 CI/CD 流水线中的运行风险。
Read paper →DevSecOps标题：面向 DevSecOps 流水线的可加密验证编排：形式化模型、自动化架构及在云原生 Kubernetes 环境中的实验评估
标题：面向 DevSecOps 流水线的可加密验证编排：形式化模型、自动化架构及在云原生 Kubernetes 环境中的实验评估 摘要：基于微服务的架构以及 Kubernetes 编排的日益采用，已使 CI/CD 流水线成为现代软件工程的核心组件。然而，这种自动化也显著扩大了软件供应链的攻击面。大量记录在案的安全事件表明，依赖项、构建工件或流水线基础设施的篡改可能会同时危及数千个系统。本文提出一种用于云原生环境中 DevSecOps 流水线的可加密验证编排形式化模型。该模型将流水线表示为有向无环图，其中每一次工件转换都伴随可验证的完整性、真实性和可追溯性属性。我们基于加密哈希函数、数字签名以及由 CVSS 漏洞衍生的评分，形式化定义了运营风险的定量度量。在此理论基础上，我们开发了一种名为 OCV-DevSecOps 的自动化架构，该架构集成了使用 Sigstore/Cosign 的工件验证、使用 Open Policy Agent 的声明式策略、使用 Falco 的运行时行为检测，以及使用 SAST、SCA 和 DAST 工具的漏洞分析。该架构还纳入了 CycloneDX 格式的软件物料清单（Software Bill of Materials, SBOM），以实现依赖关系可追溯性并支持供应链治理。我们在一个包含 42 个微服务和 180 次流水线执行的 Kubernetes 集群上对所提方案进行了实验评估。结果表明，关键漏洞的平均检测时间显著缩短，工件可追溯性大幅提升，并且包含关键缺陷的部署数量有所减少。我们还观察到流水线总执行时间存在中等程度的影响，但仍保持了可操作性。结果表明，强制性的加密验证、自动化策略与持续行为监控相结合，能够为增强现代 DevSecOps 流水线安全性提供一种有效机制。本文通过给出问题的数学形式化、可复现的架构以及基于真实云原生基础设施的实证评估，作出了贡献。
Read paper →DevSecOps标题：CI/CD 管道中的安全形式化编排：面向 DevSecOps 的量化风险模型，结合 MITRE ATT&CK 关联与运维指标
标题：CI/CD 管道中的安全形式化编排：面向 DevSecOps 的量化风险模型，结合 MITRE ATT&CK 关联与运维指标 摘要：DevOps 实践的采用通过强调自动化、持续集成和持续交付，深刻改变了软件开发生命周期。然而，CI/CD 流水线的加速显著扩大了组织的攻击面，尤其是在软件供应链攻击和易受攻击依赖项利用的背景下。广泛记录的事件，如 SolarWinds Orion 分发链遭入侵（SUNBURST）以及 Log4Shell 漏洞（CVE‑2021‑44228）的大规模利用，表明在构建过程中引入的缺陷或外部依赖可能以全球规模传播影响。尽管 DevSecOps 范式主张将安全控制集成到开发流水线中，实际运维仍以工具的表层集成、缺乏定量风险指标以及自动化扫描结果与正式威胁模型之间缺少对齐为特征。本文提出一种基于增量风险分析的 CI/CD 流水线安全编排量化模型。该模型将流水线形式化为有向无环图，并定义一个累积风险函数，该函数结合 CVSS 评分、通过 EPSS 估计的利用概率、资产关键性以及与漏洞年龄相关的时间因子。在此基础上，我们引入一种自适应阻断机制，利用动态阈值在构建过程中自动决定工件的晋级或拒绝。我们在 Kubernetes 环境中实现了该模型，使用了 DevSecOps 生态中广泛采用的工具，包括 Semgrep、SonarQube、Trivy、Syft/Grype、OWASP ZAP 和 Checkov，并结合 Falco 进行运行时监控以及基于 MITRE ATT&CK 矩阵的事件关联。实验评估在涉及 37 个微服务的 1,200 次流水线执行中展开。结果表明，生产环境中关键漏洞暴露显著降低，平均修复时间缩短，且对流水线执行时间没有实质性影响。该研究表明，对 CI/CD 流水线中的风险进行数学形式化，能够支持更加一致的自动化决策，并为 DevSecOps 环境中以指标驱动的安全治理提供运维基础。
Read paper →DevSecOps标题：一种基于威胁建模和持续风险分析的 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的框架
标题：一种基于威胁建模和持续风险分析的 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的框架 摘要：DevOps 实践的日益采用从根本上改变了软件开发生命周期，但也由于广泛自动化、基础设施即代码以及复杂供应链的引入而带来了新的攻击向量。尽管 DevSecOps 提议将安全持续集成到开发管道中，大多数实现仍然是临时性的，缺乏数学形式化、严格的威胁建模以及自适应的控制优先级机制。本文提出一种用于 DevSecOps 管道中安全控制自适应编排的形式化框架，基于概率风险建模并与 MITRE ATT&CK 矩阵集成。我们正式定义了在延迟和计算成本约束下最小化残余风险的问题，将管道建模为一个带有与各阶段关联风险函数的有向无环图。我们开发了两个主要算法：(i) 一种基于期望边际风险的安全检查动态优先级机制；以及 (ii) 一种可根据执行遥测在运行时重新配置管道的自适应编排器。我们在 GitLab CI/CD、Kubernetes 以及 SAST、DAST、SCA 和 IaC 扫描器等工具上实现了该框架，并在 312 个企业仓库、共 480 万行代码上进行了评估。结果表明，与传统静态管道相比，总管道时间平均减少 37.4%，估计残余风险降低 52.1%，误报减少 41.3%。此外，我们观察到平均修复时间（MTTR）提升 29.6%。结果表明，DevSecOps 编排的数学形式化能够同时带来安全性和运营效率的提升，有助于该领域的科学化巩固。
Read paper →DevSecOps标题：用于云原生 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的架构
标题：用于云原生 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的架构 摘要：在 DevOps 实践推动下，软件交付周期的加速引入了一个结构性悖论：开发时间的缩短扩大了攻击面并提高了漏洞引入频率。DevSecOps 作为应对方案应运而生，将安全控制集成到持续集成与持续交付（CI/CD）管道的各个阶段。然而，现有方法仍主要依赖启发式策略，缺乏严格形式化、系统化威胁建模以及全面的定量评估。本文提出一种用于云原生 DevSecOps 管道中安全控制自适应编排的形式化架构，基于风险数学建模与多目标优化。我们的方法结合静态分析（SAST）、动态分析（DAST）、依赖项扫描（SCA）、基础设施即代码（IaC）分析以及基于 MITRE ATT&CK 的行为检测，并通过基于风险函数 R = P · I · E 的优先级机制进行集成，其中 P 表示可利用概率，I 表示影响，E 表示时间暴露。我们在 Kubernetes 上使用 GitLab CI、SonarQube、OWASP ZAP、Trivy 和 Open Policy Agent 实现了一个原型，并在 42 个真实微服务（约 180 万行代码）上进行了评估。结果表明，平均修复时间（MTTR）降低了 37.4%，生产环境中的关键漏洞（CVSS ≥ 9.0）减少了 29.1%，且管道平均开销低于 11.6%。与传统 DevSecOps 管道相比，我们观察到优先级判定准确率提升了 22.8%，可操作性假阳性减少了 31.5%。我们证明了安全编排的数学形式化能够在严格性与敏捷性之间实现平衡，在不影响交付吞吐量的前提下，为风险降低提供可度量的保证。本文贡献包括：(i) 一个面向 DevSecOps 的连续风险形式化模型，(ii) 具有复杂度分析的自适应编排算法，以及 (iii) 基于可复现实数量数据的大规模实证评估。
Read paper →DevSecOps基于策略即代码并具有可度量安全保障的DevSecOps流水线的形式化编排与定量评估
TITLE: 基于策略即代码并具有可度量安全保障的DevSecOps流水线的形式化编排与定量评估 ABSTRACT: DevOps实践的日益普及改变了软件开发生命周期，但通过引入高度自动化的流水线、短暂性基础设施以及第三方依赖的持续集成，也显著扩大了攻击面。近期涉及供应链被攻破的事件——如SolarWinds和Log4Shell（CVE-2021-44228）——表明，如果在开发流程中缺乏集成的安全控制，将会导致大规模的系统性影响。本文提出一种基于策略即代码（Policy-as-Code）的DevSecOps形式化框架，提供可度量的合规性与风险降低保障。我们的方法将流水线形式化建模为有向无环图，通过声明式约束对安全属性进行验证，并结合基于CVSS指标和MITRE ATT&CK威胁情报的自适应漏洞优先级机制。 我们实现了一个与Kubernetes环境、GitLab CI/CD以及Open Policy Agent（OPA）、Trivy和SonarQube等工具集成的原型系统。我们在42个真实的开源项目上对系统进行了评估，总计涵盖380万行代码和12,614个容器镜像。结果表明，平均修复时间（MTTR）降低了47.3%，生产环境中引入关键漏洞的比例减少了62.8%，而流水线总执行时间的开销低于8.4%。此外，我们还证明，对安全属性进行形式化可以在部署阶段之前检测到91.6%的策略违规。 我们得出结论：在DevSecOps流水线中系统性地集成轻量级形式化验证与自适应优先级机制，能够在不牺牲运行敏捷性的前提下带来显著的可量化安全收益，从而为高速环境中的安全软件工程建立一种可度量且可复现的范式。
Read paper →DevSecOps标题：基于策略即代码的 DevSecOps 流水线的形式化编排与定量评估：具有可度量安全保证
标题：基于策略即代码的 DevSecOps 流水线的形式化编排与定量评估：具有可度量安全保证 摘要：DevOps 实践的日益采用改变了软件开发生命周期，但也通过引入高度自动化的流水线、短暂性基础设施以及第三方依赖项的持续集成，显著扩大了攻击面。近期涉及供应链被攻破的事件——如 SolarWinds 和 Log4Shell（CVE-2021-44228）——表明，若未将安全控制集成到开发流程中，将会导致大规模系统性影响。本文提出一种面向 DevSecOps 的形式化框架，基于策略即代码（Policy-as-Code），以实现可度量的合规性与风险降低保障。我们的方法将流水线建模为有向无环图，通过声明式约束进行安全属性验证，并采用一种基于 CVSS 指标和 MITRE ATT&CK 威胁情报的自适应漏洞优先级排序机制。 我们实现了一个集成于 Kubernetes、GitLab CI/CD 以及 Open Policy Agent（OPA）、Trivy 和 SonarQube 等工具中的原型系统。我们在 42 个真实开源项目上对该系统进行了评估，总计覆盖 380 万行代码和 12,614 个容器镜像。结果表明，平均修复时间（MTTR）降低了 47.3%，生产环境中关键漏洞的引入减少了 62.8%，且总流水线执行时间的额外开销低于 8.4%。此外，我们还证明了，对安全属性的形式化可在部署阶段之前检测出 91.6% 的策略违反。 我们得出结论：在 DevSecOps 流水线中系统性集成轻量级形式化验证与自适应优先级排序，能够在不损害运营敏捷性的前提下带来显著的定量安全收益，并为高速环境中的安全软件工程建立一种可度量、可复现的范式。
Read paper →DevSecOps题目：一种形式化奠基的用于 DevSecOps 控制自适应编排的架构，具有攻击面降低的定量保证
题目：一种形式化奠基的用于 DevSecOps 控制自适应编排的架构，具有攻击面降低的定量保证 摘要：DevOps 流水线的加速采用显著扩大了企业系统的攻击面，引入了与软件供应链、短暂配置以及仪表化不足的持续集成相关的攻击向量。尽管 DevSecOps 范式提出将安全机制持续集成到开发生命周期中，现有文献仍缺乏能够在现实对手和可复现实测指标下量化其有效性的形式化模型。本文提出一种具有显式数学基础的自适应 DevSecOps 架构，用于实现可度量的风险降低，并将其建模为一个受操作约束的优化问题。我们将流水线形式化为有向无环图 G = (V,E)，其各阶段关联风险函数，并定义基于可被利用漏洞、按 CVSS 严重性加权且通过 MITRE ATT&CK 数据估计利用概率的复合攻击面度量 A(G)。我们在 Kubernetes 环境中实现了该架构，并集成了 GitLab CI、SonarQube、OWASP ZAP、Trivy 和 HashiCorp Vault 等工具。我们在 120 个开源项目和 18 个企业应用上评估了该系统，总代码量达 320 万行。结果表明，在关键漏洞暴露方面（CVSS ≥ 9.0）平均降低了 47.3%，平均修复时间（MTTR）减少了 38.6%，且在总构建时间上的运行开销低于 8.4%。与静态 DevSecOps 流水线相比，我们的自适应机制在可被利用的配置错误的预防性阻断率方面表现出统计显著的提升（p < 0.01）。我们得出结论，定量形式化不仅能够在经济上论证采用 DevSecOps 的合理性，还能够在高频部署环境中动态优化安全控制。
Read paper →DevSecOps一种具有形式化基础并提供攻击面降低定量保证的DevSecOps控制自适应编排架构
TITLE: 一种具有形式化基础并提供攻击面降低定量保证的DevSecOps控制自适应编排架构 ABSTRACT: DevOps流水线的加速采用显著扩大了企业系统的攻击面，引入了与软件供应链、短暂配置以及监控不足的持续集成相关的攻击向量。尽管DevSecOps范式主张将安全机制持续集成到开发生命周期中，但现有文献缺乏能够在现实对手模型和可复现指标下量化其有效性的形式化模型。本文提出一种自适应DevSecOps架构，其具有明确的数学基础，可实现可度量的风险降低，并被建模为在操作约束下的优化问题。我们将流水线形式化为一个有向无环图 G = (V,E)，并为每个阶段关联风险函数，同时定义一种复合攻击面度量 A(G)，该度量基于可利用漏洞，并按CVSS严重性和通过MITRE ATT&CK数据估计的利用概率进行加权。我们在Kubernetes环境中实现了该架构，并集成了GitLab CI、SonarQube、OWASP ZAP、Trivy和HashiCorp Vault等工具。我们在120个开源项目和18个企业应用上评估了该系统，总计3.2百万行代码。结果表明：关键漏洞暴露（CVSS ≥ 9.0）平均降低47.3%，平均修复时间（MTTR）减少38.6%，而构建总时间的运行开销低于8.4%。与静态DevSecOps流水线相比，我们的自适应机制在可利用配置错误的预防性阻断率方面表现出统计显著的提升（p < 0.01）。我们得出结论：定量形式化不仅能够为DevSecOps的采用提供经济上的合理性依据，还能够在高频部署环境中动态优化安全控制。
Read paper →DevSecOps一种形式可验证的 DevSecOps 编排架构：具有定量风险优先级与威胁导向的持续集成
在这些流水线中对安全控制的迟后引入显著扩大了攻击面，尤其是在云原生和以 API 为中心的环境中。 大量已记录的安全事件揭示了这一现实。Log4Shell 漏洞（CVE-2021-44228）表明，广泛分发的依赖项如何在全球范围内实现远程代码执行。SolarWinds 供应链攻击则揭示了在构建与已签名工件分发过程中的妥协（WILLIAMS et al., 2021）。Verizon DBIR 2023 报告指出，24% 的数据泄露涉及对已知漏洞的利用（VERIZON, 2023）。MITRE ATT&CK 技术，如 T1190（Exploit Public-Facing Application）和 T1552（Unsecured Credentials），在真实场景中仍然十分常见（MITRE, 2023）。 此外，2026 年的生态系统还包括与大型语言模型（LLMs）相关的新兴威胁，例如 prompt injection、通过自动化集成导致的敏感数据泄露，以及与 MLOps 流水线中 AI 模型安全相关的风险（OWASP, 2023b）。AI 组件的集成进一步增加了对治理、可追溯性和形式化验证的需求。 我们提出以下研究问题： RQ1: 如何对 DevSecOps 流水线进行形式化建模，以支持安全属性验证和定量风险优先级排序？ RQ2: 是否可以通过基于风险的自适
Read paper →DevSecOpsDevSecOps 流水线中安全控制的形式化编排：一种基于威胁建模、多目标优化与持续验证的框架
使得在高度分布式的生产环境中实现每日多次部署成为可能。这种加速虽然带来了竞争力提升，但也扩大了与 CI/CD 流水线、中间构件、容器注册表以及第三方依赖相关的攻击面。到 2026 年，由于人工智能组件的引入——包括大规模语言模型（LLMs）、基于外部 API 的服务以及在 CNAPP（Cloud-Native Application Protection Platform）范式下整合的云原生基础设施——这一环境变得更加复杂。 Log4Shell 漏洞（CVE-2021-44228）由于缺乏对传递依赖的系统性验证以及漏洞构件在供应链中的快速传播，影响了数百万个应用程序（NATIONAL VULNERABILITY DATABASE, 2021）。SolarWinds 事件揭示了在构建过程中插入恶意代码的可能性，这与 MITRE ATT&CK 框架中的 T1195（Supply Chain Compromise）技术相一致（MITRE, 2023）。Codecov 事件则展示了通过持续集成脚本进行凭证外泄的情况，进一步凸显了在自动化流水线中进行密钥与凭证管理控制的重要性。 经验性报告证实了结构性缺口仍然存在。Verizon Data Breach Investigations Report 指出，大量数据泄露事件利用了已知漏洞和不当配置（VERIZON, 2023）。GitLab
Read paper →DevSecOps面向风险的 DevSecOps 与持续形式化验证：用于 CI/CD 流水线安全自适应编排的定量模型
大多数安全事件仍然利用已知漏洞和配置错误（VERIZON, 2025）。诸如 Log4Shell (CVE-2021-44228) 和 Spring4Shell (CVE-2022-22965) 等事件表明，复杂的依赖链以及缺乏情境化优先级排序会促进大规模利用。在 MITRE ATT&CK 的背景下，诸如 T1190（Exploit Public-Facing Application）之类的技术仍然占主导地位（MITRE, 2024）。 尽管 DevSecOps 范式提出了 shift-left 原则，但主流实践仍然局限于同步执行 SAST、DAST 和 SCA 扫描器，而缺乏定量风险建模或自适应优化。因此，提出如下研究问题：如何在高频 CI/CD 流水线中动态编排安全检查，在延迟约束下最小化残余风险？ 我们提出以下研究问题： RQ1：如何以与 CI/CD 工件兼容的方式对 DevSecOps 流水线中的安全风险进行定量建模？ RQ2：是否可以在不显著影响交付延迟的情况下集成增量式形式化验证？ RQ3：基于风险的自适应编排在减少可被利用的漏洞方面产生何种影响？ 我们的主要贡献包括：（C1）残余风险的数学形式化；（C2）基于线性时序逻辑（LTL）的增量式形式化验证机制；（C3）经统计验证的实证评估。 2. 背景与相关工作 我们将 DevSecOps 流水线形式
Read paper →DevSecOps证据驱动的DevSecOps：一种面向大规模软件交付流水线、基于上下文风险优先级排序与持续验证的形式化架构（2026）
1. 引言
Read paper →