持续发现并修复漏洞

可用原型可能变成无人维护的服务

Vibe coding 可以快速产出有用原型。如果人们持续使用它，却没有持续安全维护，生产风险就会上升。这是严重缺口：软件仍然暴露在风险中，创建它的人却认为工作已经结束。

缺口既涉及技术，也涉及组织。扫描器可能存在，却没有负责人。发现可能有负责人，却没有发布路径。修复可能已合并，但旧生产制品仍在运行。

评估实际开发平台和配置。有些工具提供安全功能，但产品标签不能证明已部署应用获得持续扫描和经过验证的修复。

证据可能变化时执行扫描

对拟议修改和构建制品执行相关检查。由于安全公告会在没有代码提交时变化，应定期重新评估受支持版本。相关公告、暴露变化或事件出现时，触发额外审查。

明确范围。列出代码仓库、分支、锁文件、镜像、已部署摘要值、运行时和环境。也要包含已经不再开发新功能、但仍服务用户的应用。

扫描失败意味着缺少证据。监控扫描是否及时、公告源失败、身份验证失败、不支持的组件和覆盖缺口。任务失败后的空发现列表，不等于扫描结果干净。

用不同检查回答不同问题

将这些检查与审查和相关安全测试结合。不要声称任何扫描都能证明不存在漏洞。

追踪一项虚构发现进入生产

根据严重程度、利用证据、暴露情况、受影响数据和可用缓解措施安排优先级。CISA 目录有助于识别已知利用情况，但只是一个输入，不是完整风险评估。参见 CISA 目录。

临时例外需要证据、负责人、补偿性控制措施，以及到期或复核触发条件。如果没有补丁，可考虑获授权的替代处理、限制功能，或移除受影响组件。

补上维护缺口

按优先级衡量完成分诊和经验证修复所需的时间。追踪逾期例外、过时扫描、受影响生产版本和重复发现。发现数量下降，也可能只是覆盖减少，因此应检查分母。

Taiga Maintaining 会在已连接代码仓库发生修改后扫描，也会定期扫描。它记录发现，并将修复与 initiative 和已审查修改关联起来。检查扫描状态和当前文档说明的行为。参见 Maintaining。

流水线仍需要适当的发布门禁。服务负责人仍须确认部署和运行正确性。这条持续链路是运维 AI 软件工厂的一部分，也适用于最初从原型起步的产品。