KENSAI-security-ops: metrics van de validatielus houden bounty-triage scope-veilig

Kernpunt: de uitgeleverde metrics van de validatielus tonen waarom bewijspoorten ertoe doen: een grote wachtrij is alleen nuttig wanneer gevalideerde, onbewezen, herhaalde en ingediende statussen gescheiden blijven.

Waarom scope-veilige triage negatief bewijs nodig heeft

Beveiligingsteams houden van positieve tellingen, maar het veiligere signaal is vaak wat niet bewoog. In de huidige lus verminderde herhaalwerk het aantal onbewezen items met één, maar valideerde het geen nieuwe bevindingen en promoveerde het geen zwakke kandidaten. Dat is nuttig bewijs omdat het voorkomt dat speculatieve scanneroutput indieningsmateriaal wordt.

Dezelfde momentopname registreert strategiewaarschuwingen voor klassen met zwakke validatieprestaties, waaronder CORS- en OAuth-misconfiguratieherhalingen. KENSAI houdt die waarschuwingen dicht bij de wachtrij, zodat de volgende operator de strategie kan verbeteren of kill-list-afhandeling kan aanscherpen in plaats van laagrenderend werk te herhalen.

De operationele regel

• Gevalideerde bevindingen kunnen alleen doorgaan wanneer bewijs de poort overleeft.
• Onbewezen bevindingen blijven zichtbaar onbewezen; ze worden niet omgedoopt tot voortgang.
• Herhalingsresultaten worden geregistreerd, zelfs wanneer het antwoord "geen nieuwe validatie" is.
• Indieningsstatus blijft gescheiden van gereedheid, waardoor de bounty-workflow veilig blijft.

Wat dit betekent voor teams

Een validatielus zou slechte indieningen moeilijker moeten maken, niet alleen wachtrijen groter. Door totaal volume, gevalideerde telling, herhaalpogingen en niet-promotieresultaten te bewaren in één uitgeleverd artefact, verandert KENSAI triage in een auditeerbare controle.