/audit-outdated

El Skill /audit-outdated busca desvíos de versión en cada capa del cluster: plano de control, nodes, imágenes de contenedor, charts de Helm, CRDs, operadores y la superficie de API a la que apuntan tus manifiestos. Cada capa tiene su propia noción de “más reciente” y sus propias tolerancias de desvío.

Ejecútela sin argumentos para un barrido completo, o nombre un workflow para delimitar el reporte.

/audit-outdated            # full sweep
/audit-outdated images     # single workflow
/audit-outdated cves in kube-system

La delimitación en lenguaje natural (namespaces, selectores de etiquetas, umbrales de severidad) está disponible en todos los workflows (consulte Descripción general).

Workflows

1. Desvío de versión de Kubernetes

Fuentes: el calendario de releases de Kubernetes publicado.

2. Versiones de API obsoletas y eliminadas

Fuentes: pluto y kubent cuando están disponibles, con el calendario de obsolescencia de la API de Kubernetes publicado como alternativa.

3. Frescura de imágenes de contenedor

Fuentes: Docker Hub, GHCR, quay.io y gcr.io. Actualmente no se admiten registros privados.

4. Charts y releases de Helm

Fuentes: los índices de los repositorios Helm configurados. Los charts alojados en OCI se leen directamente desde el registro OCI.

5. Operadores, CRDs y sus controladores

Fuentes: reutiliza los datos del registro y del repositorio Helm de los workflows 3 y 4.

6. Vulnerabilidades conocidas

Fuentes: Trivy y el feed oficial de CVEs de Kubernetes.

7. OS y kernel del Node

Fuentes: feeds de releases de la distribución para las últimas versiones publicadas de OS y kernel, y el catálogo CISA KEV para escalar CVEs de kernel activamente explotados.

Frescura de los datos

Cada reporte incluye un pie de página de “antigüedad de los datos”: cuándo se actualizó por última vez cada índice (Trivy DB, repos de Helm, listas de tags de registros, calendario de releases de Kubernetes).

Qué se le indica al agente

Más allá de los workflows, el Skill orienta al agente sobre cómo reportar:

Incluir siempre el pie de página de antigüedad de datos — los índices desactualizados producen hallazgos desactualizados, y el lector necesita saberlo.
Deduplicar por digest de imagen para que una imagen desactualizada compartida entre muchos pods no domine el reporte.
Incluir la severidad y el estado en el catálogo CISA KEV para las entradas de CVE cuando estén disponibles; situar los hallazgos KEV por encima de los de CVSS-high sin explotación conocida.
Distinguir explícitamente “desvío dentro de la ventana de soporte” de “EOL” — el primero es rutinario, el segundo es urgente.
Para registros no incluidos en la lista de compatibles (workflow 3), indicarlo en lugar de omitir la imagen silenciosamente.
Derivar a /investigate cuando el foco sea la imagen desactualizada de un workload específico.