诉求性作为证据
长尾只需一个滤芯。
~85%关键容器漏洞存在于非活跃代码中（Sysdig 2024 Container Security Report）。可达性分析会询问你镜像中是否存在一条路径能够到达该漏洞函数，并为每个判定——无论是保留还是删除——都签署证明。
以下屏幕显示了七项发现。一个方块：它可达且未固定。另外六个未固定但不显示可达——它们留在包中，排名较低，从不隐藏。
blocking = reachable × unfixed × policy-relevant
REACHABLE
从入口点到易受攻击符号的可执行路径通过静态调用图、二进制符号匹配或运行时探针命中来证明。
NOT OBSERVED
目前收集的证据中没有发现可执行的路径。这是关于证据的陈述，而不是脆弱性。该发现保留在工作集中的位置。
同一组工作组承担两种工作。在它们之间切换会改变顶部的种类——没有任何东西进出。
船只
排名依据阻碍本次发布的因素：优先可达、未固定、政策相关的风险。
安全
按整个资产环境区的总曝光度排名，包括那些永远不会限制授权的发现。
它改变了排名和重点，而不是数据。
静态分析在每次扫描中产出判定。二进制符号与运行时事实在你需要时提供更多深度。 CVE公共漏洞和暴露 - 公开已知安全漏洞的唯一标识符
静态调用图分析
从编译后的字节码与源码构建调用图，再从你的入口点追踪到安全公告所指名的函数。
二进制符号分析
面向无源码可读的原生代码的 CLI 通道：ELF 符号表与 DWARF 函数名，支持 x86、x64 与 ARM64。其结论独立成立，与扫描判定分开。
运行时eBPF扩展伯克利包过滤器 — 一种Linux内核技术，运行沙箱程序实现高性能可观测性和运行时分析，无需内核模块 探针
把真实的执行数据送进来，Stella Ops 会验证并封存它，作为最强的可达性证据。探针由你运行；RC1 提供接收通路。
eBPF扩展伯克利包过滤器 — 一种Linux内核技术，运行沙箱程序实现高性能可观测性和运行时分析，无需内核模块 工具每个判定都被打包为 DSSE 签名证明，将发现绑定到其判定所依据的可执行路径。若无法分析出任何路径，该发现会被标记为未知，而不是被判定为无风险。 DSSEDead Simple Signing Envelope - 用于以加密签名签署任意数据的简单灵活标准
当分析无法确定可达性时，会显式跟踪不确定性 - 不会隐藏或默默地假定安全。
| 求助性桶 | 默认权重 |
|---|---|
| reachable:proven | 1.0 |
| reachable:likely | 0.85 |
| not-observed | 0.0 |
数值越高代表风险越大，而非信心越足：该权重用于缩放一条发现的风险分值。运行时确认不会取代路径证明——它提高的是附加在判定上的信心。若分析器根本没有观测到路径，Stella Ops 会报告未观测并附上签名的覆盖范围说明，绝不会说“不可达”：没有观测到路径，并不能证明路径不存在。
政策建议：将 unknown 视为一流判定，为每个严重性设置明确的阈值，并在证据包中记录审核者覆盖原因。
发布者的 VEX 声明汇入同一张证据图，并归一为五种状态——not_affected、affected、fixed、under_investigation、unknown——因此“调查中”是有后果的状态，而非脚注。 VEX漏洞可利用性交换 - 关于漏洞是否在您的上下文中实际可利用的机器可读声明
not_affected affected fixed under_investigation unknown多个发行机构可以针对同一组件进行通话。当双方意见不合时，K4（Belnap）冲突解决系统将分歧记录为冲突——没有任何平均值，发行方不会默默获胜。
CISA KEV的列表和EPSS评分是咨询级别的利用信号。它们在工作组内提升了发现的等级和紧迫性。 KEV已知被利用漏洞 - CISA的活跃利用漏洞目录 EPSS漏洞利用预测评分系统 - 预测漏洞被利用可能性的概率评分（0-100%）
Exploit signals attach at the advisory level, not at the finding level. Open a CVE公共漏洞和暴露 - 公开已知安全漏洞的唯一标识符 to read its advisory-level exploit data: the KEV已知被利用漏洞 - CISA的活跃利用漏洞目录 listing and the EPSS漏洞利用预测评分系统 - 预测漏洞被利用可能性的概率评分（0-100%） score belong to the advisory, and they read the same for every service that carries the affected component.
它们不是可达性的证据。你的服务代码中从未加载的KEV条目会改变重点，而不是结论——除非你的策略明确表示已知被利用的发现无论如何都会被阻挡。 有两类规则可以拦截，且彼此独立：CVE 拦截清单完全不考虑可达性；而可达性规则只在已证实路径上拦截——reachable:likely 与 unknown 永不通过它拦截，无论策略列出哪些状态。
A policy gate can combine both kinds of answer in one rule: reachability state together with EPSS漏洞利用预测评分系统 - 预测漏洞被利用可能性的概率评分（0-100%）, KEV已知被利用漏洞 - CISA的活跃利用漏洞目录, and CVSS通用漏洞评分系统 - 0到10的严重性评级，指示漏洞的关键程度 thresholds. "Known-exploited and reachable" and "known-exploited regardless of reachability" are both expressible; which one you enforce is your policy, not a default we pick for you.
扫描仪会回答“这张镜像现在是什么”。这是必要的——但对发布决定来说还不够。
扫描任务带来的效果
Stella Ops新增了什么
Stella Ops不做的事
Trivy 涵盖了 Git 仓库、虚拟机和 Kubernetes 目标，以及配置错误和秘密扫描。Stella Ops没有。其范围包括容器镜像和文件系统快照，每个判定均附有签名且可重放的证据。
Reachability分析证明易受攻击的代码是否确实被您的应用程序调用——过滤扫描器噪声中的误报 证据被用于内容寻址以进行重复删除和验证。节点哈希实现了不同版本之间的高效差异化。 节点哈希 SHA256(normalize(purl) + ":" + normalize(symbol)) 路径哈希 SHA256(entryNodeHash + ":" + joinedIntermediateHashes + ":" + sinkNodeHash) Top-K 重要路径保留在证据束中。路径按执行频率（来自运行时）或调用深度（来自静态）进行排名。Reachability分析证明易受攻击的代码是否确实被您的应用程序调用——过滤扫描器噪声中的误报 证据被用于内容寻址以进行重复删除和验证。节点哈希实现了不同版本之间的高效差异化。
节点哈希
SHA256(normalize(purl) + ":" + normalize(symbol))
路径哈希
SHA256(entryNodeHash + ":" + joinedIntermediateHashes + ":" + sinkNodeHash)
Top-K 重要路径保留在证据束中。路径按执行频率（来自运行时）或调用深度（来自静态）进行排名。
每个可达性分析都会生成存储在内容寻址存储中的加密签名证明。 DSSEDead Simple Signing Envelope - 用于以加密签名签署任意数据的简单灵活标准
内容寻址存储路径
cas://reachability_graphs/<hh>/<sha>.tar.zst
cas://runtime_traces/<hh>/<sha>.tar.zst
可达性分类器以随公开源码树发布的带标注语料库为准绳：八个覆盖 Java、Node.js、Python、Go、.NET、Ruby、Rust 与 PHP 的最小服务，每个都带有标签文件，按 CVE 声明期望层级——从 R0（在该服务中不可达）到 R4（自入口点可达）——以及理由。
同一源码树中还有按层级为分类打分的评测工具——精确率与召回率，而非一个混合数字。语料库、标签与层级契约都是公开的，你不必接受我们的解读：用你自己的安装扫描同一基准真值，将其报告与公开的期望答案对照。
如何做这项对照，见评估试点第 2.1 步 →Stella Ops 通过流式接收端点接受运行时执行事实，并视其为最强的可达性证据。RC1 不提供采集器：基于 Tetragon 的探针是由你运行的检测工具，而可达性分析在没有它们时仍可依靠静态层与二进制层工作。
捕获的探测数据
symbol_id: 规范符号标识
code_id: 代码段标识
hit_count: 执行频率
loader_base: 内存基址
cas_uri: 内容寻址引用
探针将运行时事实提交到POST /signals/runtime-facts/ndjson，作为流式 NDJSON。每个观测值都携带底层伪造物的CAS URI。
指Stella Ops你今天发的一张镜像，读读它所签署的判定。如果可达性移除的金额低于其声称的，你也会看到——每一次删除都有其证据。
免费层级：3 个环境，且每滚动 24 小时最多 100 次新摘要扫描，自托管。v1.0-RC1，候选发布版。