Bulkhead：自动语义检测与修复容器逃逸漏洞

Bulkhead 是一个自动检测与修复容器逃逸漏洞的框架，通过将历史 CVE 总结为结构化语义模式、关联文档与代码证据、还原 source-to-sink 执行上下文，并用隔离 PoC 执行验证发现。在容器代码库中，Bulkhead 发现 20 个零日漏洞，占过去十年发现总量的 43%，其中 3 个已分配 CVE，验证后的补丁建议已提交上游。