### ① 情报卡片 靶场环境 K8S-TARGET-19，GitOps 同步控制器把某 Git 仓库当期望状态来源，仓库写权泄露或被投毒，环境脱敏。 ### ② 攻击面判断 "仓库即集群"：拿到仓库写权等于改集群期望状态，同步控制器自动把变更应用。缺陷在仓库写权保护与自动同步，机制是持续对齐。 ### ③ 第一次试探 核对仓库写权限、分支保护与同步控制器 SA 范围，只读审查，不提交任何变更。 ### ④ 真假阳性递进校验 排除正常提交：受保护分支需审查者无虞。确认写权过宽/泄露且自动同步无审批才判真。 ### ⑤ 完整链路拆解 仓库写权泄露/投毒（机制，不含提交内容）→ 同步控制器检测变更自动对齐 → 恶意期望状态被应用进集群 → 借控制器高权身份接管。投毒经自动同步落地，无需直接碰 API。 ### ⑥ 底层溯源 控制器轮询仓库差异，经 API socket/TLS 对齐集群。写权经 git 协议，自动循环 goroutine，非集群内部漏洞。 ### ⑦ 业务伤害定级 自动同步应用恶意状态并接管定严重。仅写权过宽未投毒定高危。 ### ⑧ 修复建议