AWS 分享构建 AI 漏洞测试框架的三层流水线

AWS 安全团队介绍了一套三层流水线，把漏洞扫描器产生的大量候选发现收敛为少量带证据的高优先级问题。第一层用多扫描器一致性判断可信度，第二层借助代码的抽象语法树验证扫描器描述的函数、文件与数据流是否真实存在，第三层结合 CloudFormation、Terraform 等 IaC 模板评估 WAF、网络隔离、认证等控制措施能否被绕过。作者强调该架构与具体工具无关，可替换自有扫描器和模型，并给出按索引、多扫描器分诊、假设生成、基础设施上下文、实机验证的顺序逐步落地的建议。文章同时说明该框架不负责修复代码、不替代人工复核，也无法覆盖扫描器检测范围之外的漏洞类型。