KENSAI Security Ops: Validation-Loop-Metriken halten Bounty-Triage scope-sicher
KENSAI-Validation-Loop-Metriken halten Bounty-Triage ehrlich, indem sie validierte Evidenz, unbewiesene Findings, Retry-Ergebnisse und Submission-Zustand trennen.
Warum scope-sichere Triage negative Evidenz braucht
Security-Teams lieben positive Counts, aber das sicherere Signal ist oft, was sich nicht bewegte. In der aktuellen Schleife reduzierte Retry-Arbeit den unbewiesenen Count um eins, validierte aber keine neuen Findings und beförderte keine schwachen Kandidaten. Das ist nützliche Evidenz, weil sie verhindert, dass spekulativer Scanner-Output zu Submission-Material wird.
Die Betriebsregel
Vier Prinzipien halten die Schleife ehrlich:
- Validierte Findings dürfen nur fortschreiten, wenn Evidenz das Gate übersteht.
- Unbewiesene Findings bleiben sichtbar unbewiesen; sie werden nicht in Fortschritt umbenannt.
- Retry-Ergebnisse werden erfasst, auch wenn die Antwort „keine neue Validierung“ lautet.
- Der Submission-Zustand bleibt von der Bereitschaft getrennt, sodass der Bounty-Workflow sicher bleibt.
Was das für Teams bedeutet
Eine Validierungs-Schleife sollte schlechte Submissions schwerer machen, nicht nur Queues größer. Indem KENSAI Gesamtvolumen, validierten Count, Retry-Versuche und Nicht-Beförderungs-Ergebnisse in einem ausgelieferten Artefakt bewahrt, verwandelt es Triage in eine auditierbare Kontrolle.