云原生动态：K8gb晋级CNCF孵化项目、CoHDI入沙箱推动可组合分解式基础设施与Cilium v1.20.0领衔本周安全更新潮

本周（8月3日至9日）云原生生态迎来一轮”治理与安全”双线推进。CNCF技术委员会（TOC）投票通过Kubernetes全球负载均衡器K8gb晋级孵化项目；CoHDI正式进入CNCF沙箱，试图将Kubernetes进化为”可组合分解式基础设施”；与此同时，Week 32周报显示Cilium v1.20.0（2,660余次提交）、OPA v1.19.0（修复SQL注入）、Prometheus v3.13.2（CVE修复）与Volcano v1.15.1（SSH安全更新）集中落地，安全与网络层的维护节奏显著加快。

主要新闻

K8gb晋级CNCF孵化项目：多集群全局负载均衡走向成熟

CNCF技术委员会投票通过Kubernetes Global Balancer（K8gb）成为孵化级（incubating）项目。K8gb是一个专为Kubernetes设计的开源云原生全局服务器负载均衡（GSLB）解决方案，通过标准Kubernetes API、CoreDNS与external-dns自动管理跨集群、跨地域的流量与故障切换，解决多集群环境下的应用可用性与灾难恢复问题。该项目自2021年3月进入沙箱以来，五年间在技术成熟度与社区参与度上均有明显提升。CNCF TOC评价其”填补了多集群网络的基础性空白，提供了厂商中立、Kubernetes原生的全局负载均衡路径”。展望方面，K8gb社区将聚焦多区域复杂流量路由、GSLB配置的可观测性与度量、生态集成扩展以及服务网格技术的深度支持。K8gb由此加入Backstage、KubeVirt、Volcano、Kyverno等在孵项目的行列，成为多集群治理栈中又一被基金会背书的组件。

Source: K8gb becomes a CNCF incubating project

CoHDI进入CNCF沙箱：把Kubernetes改造成可组合分解式基础设施

CNCF宣布接受CoHDI（Composable Hardware in Disaggregated Infrastructure，发音”Cody”，前身InfraDDS）为沙箱项目。CoHDI由Red Hat、FSAS、Fujitsu、IBM Research与NTT于2025年3月联合发起，旨在为Kubernetes节点构建基于可组合分解式硬件的社区化、标准化生态：通过Dynamic Resource Allocation（DRA）实现节点内PCIe设备的主机级动态挂载与解挂载，从而在LLM推理的Prefill/Decode分解（compute-bound与memory-bound解耦）、Agentic AI工作流（各阶段资源需求动态变化）等场景下实现灵活高效的资源分配，并有望显著提升能效与可持续性。CoHDI软件套件与SIG Node、SIG Autoscaling、SIG Scheduling协作，通过三大核心组件把分解式资源纳入云原生编排，其核心价值在于弥合”传统硬件边界”与”云原生编排”之间的鸿沟。

Source: Welcome CoHDI to the CNCF: Evolving Kubernetes into composable disaggregated infrastructures

Week 32周报：Cilium v1.20.0发布与安全更新集中落地

Last Week in Cloud Native（LWCN）发布Week 32（8月3日-9日）周报：本周共记录47个发布、192条新闻。网络层最受关注的是Cilium v1.20.0，包含2,660余次新提交，使用传统Mutual Authentication、Envoy Go扩展、Kafka感知策略或cilium.io/v2alpha1 CiliumNodeConfig API的用户需在升级时采取行动；Kube-OVN v1.15.20修复了MetalLB下underlay VIP内部流量保留问题，Kube-VIP v1.2.2与Kuma系列（v2.7.29至v2.14.2）均完成了CoreDNS及相关Go依赖的安全升级。安全层同样密集：OPA v1.19.0修复了Compile API中的SQL注入向量，并以wazero替换wasmtime-go实现cgo-free的WebAssembly运行时；Prometheus v3.13.2升级golang.org/x/text（CVE-2026-56852）与google.golang.org/grpc（GHSA-hrxh-6v49-42gf），并预分配活动查询跟踪文件防止磁盘写满时SIGBUS崩溃；Volcano v1.15.1升级golang.org/x/crypto修复SSH安全问题。此外，Cilium以100个合并PR、Meshery以152次提交分列周度合并与提交榜首。

Source: Week 32, Aug 3-9, 2026: Kube-Ovn, Kube-Vip & Kuma Updates

CNCF发文威胁建模”影子AI”：从开发者笔记本到Kubernetes的治理路径

CNCF于8月7日发表技术文章《Shadow AI in CI/CD》，对从开发者笔记本到Kubernetes Pod的典型云原生交付路径进行威胁建模，并逐阶段映射可用CNCF/开源项目实施的防御控制：源码阶段聚焦代码助手、本地模型与公共聊天机器人导致源码/密钥/架构外泄；CI阶段聚焦AI生成流水线逻辑引发构建密钥与供应链被篡改；Kubernetes运行时阶段，建议以SPIFFE/SPIRE为工作负载提供密码学身份、以命名空间级最小RBAC取代cluster-admin、以Falco/Tetragon做运行时行为检测、以网络策略隔离东西向流量。文章同时坦承AI治理的空白：提示注入检查、智能体发现、工具调用策略尚无毕业级项目完整覆盖，Envoy AI Gateway（2026年6月达v1.0）与kagent（2025年5月入沙箱）被视为最具云原生谱系的候选。

Source: Shadow AI in CI/CD: Threat-modeling the path from developer laptop to Kubernetes

分析

本周新闻呈现出两个清晰信号：其一，CNCF正在通过”孵化/沙箱”管道为多集群与新型硬件时代储备基础组件；其二，安全与网络项目进入高频率的维护与加固周期。

K8gb晋级孵化项目，是”多集群治理”从口头概念走向生产落地的又一个注脚。当企业从单集群演进到多集群、多区域架构后，DNS级全局负载均衡成为最关键也最易被忽略的环节——应用跨集群故障切换几乎完全依赖它。K8gb以标准Kubernetes API + CoreDNS + external-dns构建的GSLB方案，与云厂商专有方案相比提供了可移植性；其晋级孵化意味着API稳定性与社区治理承诺的进一步提升。对平台团队而言，这意味着可以在多云/混合云场景下把”全局流量策略”纳入GitOps与IaC管理，减少对专有GSLB工具的依赖。

CoHDI与K8gb形成互补：前者面向”资源供给”的新形态——把GPU、NVMe等PCIe设备从物理机箱中”解耦”，按需挂载到任意节点。这与DRA的Consumable Capacity、Node Resource Interface（NRI）等上游能力同向演进，指向一个”基础设施像软件一样可组合”的未来。对AI基础设施团队，CoHDI若成熟，将让Prefill/Decode分解这类资源形态差异巨大的工作负载获得”同一集群、按需重组”的灵活性，降低专用机型的沉没成本。但必须清醒：CoHDI仍是沙箱项目，硬件生态、驱动支持与生产成熟度尚需数年验证，短期内更适合作为技术预研而非生产依赖。

Week 32的安全更新潮则提示一个运营现实：云原生软件供应链的”维护税”正在变重。OPA的SQL注入修复、Prometheus与Volcano的CVE依赖升级、Kuma系列的跨版本同步修补，都要求团队在升级窗口内快速验证。Cilium v1.20.0的2,660次提交与legacy API的弃用提醒，说明网络数据面项目一旦叠加eBPF与AI Gateway等新能力，升级风险也随之上升。建议运维团队将”依赖扫描+定点安全升级”常态化，并重点关注LWCN这类周报以捕捉跨项目的变化信号。

结论

K8gb晋级孵化、CoHDI入沙箱与Cilium v1.20.0领衔的安全更新周报，共同勾勒出云原生生态”横向扩展（多集群）、纵向深入（可组合硬件）与安全加固”三线并进的状态。对平台工程团队，建议将K8gb纳入多集群GSLB选型评估，将CoHDI作为DRA演进方向的观察项，并以Week 32中的安全发布清单为基准自查依赖版本。云原生的下一阶段竞争，正在从”能不能跑”转向”多集群稳不稳、硬件组合灵不灵活、供应链安不安全”。