混沌爪：通过混沌工程实现 Kubernetes 持续控制验证

2026西湖龙井茶官网DTC发售：茶农直供，政府溯源防伪到农户家 

你已经安装了 Kyverno。你编写了基于角色的访问控制（RBAC）策略。你启用了 Falco。你的安全仪表板显示为绿色，合规团队感到满意，并且你的集群感觉已被严密锁定。
但这里有一个令人不安的问题：你是否真正验证过其中任何一项是否有效？
策略引擎可能在静默状态下被错误配置。准入 Webhook 被部署在审计模式下，却从未切换到强制执行模式。运行时规则为了停止警报噪音而被禁用。而在攻击者替你发现这些问题之前，所有这些都不会在你的仪表板上显示为红色警报。
这就是为什么我构建了 ChaosClaw。

什么是 ChaosClaw？

ChaosClaw 是一个 Kubernetes 安全测试命令行工具，用于证明你的控制措施有效。它针对实时集群运行有针对性的、确定性的测试，并为每个结果生成结构化的 JSON 证据。

它涵盖四个控制领域：

准入控制 —— 危险的清单文件是否被拒绝？
RBAC 策略 —— 访问边界是否得到实际执行？
网络分段 —— 流量是否按预期被阻止？
运行时检测 —— Falco、Tetragon 或 KubeArmor 是否正在针对威胁技术发出警报？

每个测试返回四种结果之一：通过、失败、错误或跳过，并且每次运行都会生成一个结构化的证据 artifact，你可以存储、对比和审计这些证据。

安全第一：设计上的命名空间范围限制

首先说明：ChaosClaw 旨在实时集群上运行。
所有执行都限制在一个专用的、由 RBAC 强制保护的测试命名空间中。它在结构上无法触及集群中的任何其他命名空间。其设计理念是，安全测试工具本身不应成为安全风险。

试用

chaosclaw --help

代码仓库位于 github.com/aahan-pat/chaosclaw，包含完整的文档，涵盖架构、场景库、命令行参考以及针对故意易受攻击集群的案例研究。
如果你的 Kubernetes 安全控制措施未针对真实攻击场景进行验证，那么它们只是假设而非保证。ChaosClaw 能帮你找出哪些假设是错误的。

开源与贡献

ChaosClaw 完全开源，并积极欢迎贡献。如果你从事 Kubernetes 安全工作，以下是一些特别高价值的参与领域：

新场景：有想要测试的控制措施吗？场景格式简单明了，并在 docs/scenarios.md 中有详细文档说明
新警报源：超越 Falco、Tetragon 和 KubeArmor 的运行时检测
错误报告与反馈：尤其是来自事物表现出乎意料的真实集群环境

在 github.com/aahan-pat/chaosclaw 上开启议题或拉取请求。该项目有标记好的开放议题，适合首次贡献者参与。