arXiv 2610.02861：在 Kubernetes 上保护 AI agent 的纵深防御框架

背景

2026 年 10 月 2 日，论文 Containing the Autonomous Operator 论证 agent 安全在 K8s 上本质是基础设施问题。

核心要点

• 核心主张：agent 安全在 K8s 上不是模型问题，而是基础设施问题——须假设 agent 已被 prompt injection 完全攻陷。
• 贡献：威胁模型+十类威胁分类（对齐 OWASP agentic 指南）；九条设计原则（工具边界完全中介、拆散不可信输入+敏感访问+外联）。
• 七层纵深框架映射到原生/主流 K8s 机制：工作负载身份、RBAC、gVisor/Kata 沙箱、FQDN 感知出口策略、agent/MCP 网关、eBPF 运行时强制。
• 给出 EKS/AKS/GKE 参考架构与策略工件、四段攻击走查；未报告实测攻防数字，列明残差风险。

为什么重要

把「假设 agent 已沦陷」作为设计起点，给出可在生产 K8s 落地的具体防御架构，补足 agent 运维安全。

关键事实速记

• 论文：arXiv 2610.02861（K8s agent 纵深防御，10-02）
• 前提：模型不是安全边界
• 原则：工具边界完全中介
• 七层：身份/RBAC/沙箱/出口/MCP 网关/eBPF
• 覆盖：EKS/AKS/GKE