AWS Continuum 代码漏洞服务转正：先验证，再修复

发生了什么

这项服务把漏洞处理拆成四步：发现、验证、排序、修复。Continuum 从代码仓库与 AWS 环境建上下文图（采集 AWS Config 资源与网络配置），判断漏洞在网络上是否可达、攻击者能从该点触及什么；再对可复现的发现项在隔离沙箱中实际运行 exploit，附上 PoC 代码与复现步骤，而不是只给一个风险分数。

排序依据是业务影响：系统离客户数据存储、支付链路、认证服务等高价值资产越近，优先级越高。AWS 称，扫描器每天可产出数千条发现，其中大量无需处理——不可达、不可利用，或已被运行时控制措施缓解；通用 severity 评分无法区分“开发测试工具上的高危”和“支付库一步之遥的中危”。

每个确认的问题都会生成修复（代码补丁、依赖升级或配置变更），以“Continuum fix”为标题开成 PR，描述里带风险评估、修复摘要与验证证据，评审合并仍由人工完成。AWS 表示未来会在置信度门槛（测试覆盖率、变更范围、历史成功率）通过后，允许特定修复类别自动执行；服务同时与 GuardDuty、Security Hub 协同工作。

关键事实

1. 上线：2026 年 10 月 22 日正式可用（GA）；首批区域为美东（北弗吉尼亚）与美西（俄勒冈）
2. 四步流程：发现 → 验证 → 按业务影响排序 → 以 PR 交付修复
3. 验证方式：上下文图（代码仓库 + AWS 环境采集器）判断可达性；隔离沙箱实际运行 exploit 并附 PoC；给出攻击路径、源码分析与爆炸半径评估
4. 修复机制：每个确认问题生成补丁并开 PR，需人工评审合并；置信度达标后未来可自动执行部分修复类别
5. 协同：与 Amazon GuardDuty、AWS Security Hub 集成；定价见 AWS 定价页（公告未列具体价格）
6. 基准（AWS 自报，10 月初）：CyberGym-E2E 端到端代码漏洞基准 89%，覆盖 C、C++ 内存安全类漏洞