亚马逊云科技（AWS）宣布，其代码漏洞验证服务Continuum已在两个区域正式可用。该服务通过在沙箱环境中运行真实的漏洞利用代码，验证目标漏洞是否确实可被利用，而非仅依赖静态扫描结果，随后将修复方案以拉取请求的形式提交至代码仓库。
Continuum的定位介于传统静态应用安全测试工具与人工渗透测试之间。传统扫描工具往往产生大量误报，安全团队需要耗费大量时间逐条排查；而Continuum通过实际执行漏洞利用链，为每一条告警提供可验证的证据，从而降低误报带来的排查成本。这一思路与近年来安全行业强调的“可利用性优先”漏洞管理理念一致。
在定价方面，AWS公布的计费模式同时依据处理的发现数量与代码行数两个维度收费。这种混合计费方式意味着，代码规模较大或漏洞告警较多的团队，其成本会相应上升，企业在评估采用时需要结合自身代码库体量与安全运营流程进行测算。
该服务在正式可用后引发的讨论集中在自动化修复的边界上。Continuum能够自动生成修复补丁并以拉取请求形式提交，但业界从业者关注的核心问题是：在何种条件下，企业应当允许该服务自行合并修复代码。自动合并虽然可以缩短漏洞修复的窗口期，但也意味着代码变更绕过了部分人工审查环节，对于生产环境中的关键系统而言，这一决策涉及安全性与稳定性之间的权衡。
AWS将Continuum推向正式可用，反映出云厂商在应用安全领域的竞争正从检测能力向验证与修复闭环延伸。随着代码漏洞验证逐步自动化，企业安全团队的工作重心可能从告警排查转向对自动化修复结果的审核与策略制定，而如何在效率与可控性之间设定合理的自动化边界，将成为采用此类服务时的关键考量。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
