安全圖譜是圖形資料庫，會使用節點識別雲端資源，例如資產、身分、應用程式和資料。圖表的邊緣會根據偵測規則，判斷這些資源之間的風險關係。發現關係風險時，安全圖譜會產生問題。
Security Command Center 會使用預先定義的安全圖譜規則，找出可能危害資源的問題。
下表定義了這些規則。如要瞭解如何調查問題，請參閱「管理及解決問題」。
| 規則 | 說明 |
|---|---|
| GCE 執行個體：高風險 CVE，可透過 SA 模擬功能存取高價值資源 | 系統在 Compute Engine 執行個體上偵測到高風險 CVE，該執行個體可模擬有權存取重要資源的服務帳戶 (SA)。這項安全漏洞會提高權限升級和未經授權存取機密資料或系統的風險。 |
| GCE 執行個體：高風險 CVE，可透過 SA 模擬功能存取含有機密資料的資源 | 具有高風險 CVE 的 Compute Engine 執行個體，可透過服務帳戶 (SA) 模擬功能存取含有機密資料的資源。這項安全漏洞會提高未經授權存取資料、提權和潛在資料侵害的風險。 |
| GCE 執行個體：高風險 CVE，可直接存取高價值資源 | 具有高風險 CVE 的 Compute Engine 執行個體可直接存取高價值資源，因此遭到入侵、未經授權存取和資料外洩的可能性較高。 |
| GCE 執行個體：高風險 CVE，可直接存取含有機密資料的資源 | 具有高風險 CVE 的 Compute Engine 執行個體可直接存取含有機密資料的資源。這項安全漏洞會提高未經授權存取、資料侵害和權限升級的風險。 |
| 對外公開的 GCE 執行個體：高風險 CVE，有可用的攻擊手法 | Compute Engine 執行個體對外公開，且受到高風險 CVE 影響，有已知的漏洞攻擊。這會大幅增加遠端攻擊、未經授權存取和系統入侵的風險。 |
| GCE 執行個體：高風險 CVE，可模擬 SA | Compute Engine 執行個體受到高風險 CVE 影響，且能模擬其他服務帳戶 (SA)。這會大幅提高提權、未經授權存取，以及重要雲端資源可能遭到入侵的風險。 |
| GCE 執行個體：高風險 CVE、過多直接權限 | Compute Engine 執行個體有高風險 CVE，且對其他資源具有過多直接權限，因此未經授權存取、提權和資源遭入侵的風險較高。 |
| GCE 執行個體：高風險 CVE，透過 SA 模擬取得過多權限 | Compute Engine 執行個體有高風險 CVE，且透過服務帳戶 (SA) 模擬功能，對其他資源擁有過多權限，因此提權和未經授權存取的風險較高。 |
| 對外公開的 GKE 工作負載：高風險 CVE，有可用的攻擊手法 | GKE 工作負載暴露於外部，且受到高風險 CVE 影響，並有已知安全漏洞。這會大幅增加遠端攻擊、未經授權存取和系統入侵的風險。 |
| GKE 節點集區：高風險公告，透過 SA 模擬功能存取高價值資源 | GKE 節點集區可以模擬服務帳戶 (SA)，授予高價值資源的存取權。這會增加提權、未經授權存取和資料遭入侵的風險。 |
| GKE 節點集區：高風險公告，透過 SA 模擬功能存取含有機密資料的資源 | GKE 節點集區可以模擬服務帳戶 (SA)，授予含有機密資料的資源存取權。這會增加未經授權存取、資料侵害和提權的風險。 |
| GKE 節點集區：高風險公告，可直接存取高價值資源 | GKE 節點集區可直接存取高價值資源，因此未經授權存取、權限提高和資料外洩的風險會增加。 |
| GKE 節點集區：高風險公告，可直接存取含有機密資料的資源 | GKE 節點集區可直接存取含有機密資料的資源，增加未經授權存取、資料侵害和提權的風險。 |
| 暴露於外部的 GKE 節點集區：高風險公告 | GKE 節點集區暴露於外部，且受到高風險 CVE 的影響。這會大幅增加遠端攻擊、未經授權存取和系統入侵的風險。 |
| GKE 節點集區：高風險公告，可模擬服務帳戶 | GKE 節點集區有高風險公告，該集區有權模擬其他服務帳戶 (SA)，提高提權和未經授權存取重要資源的風險。 |
| GKE 節點集區：高風險公告，直接權限過多 | GKE 節點集區有高風險公告，指出該集區對其他資源擁有過多權限，可授予非預期的存取權。這會增加提權、未經授權存取和資料外洩的風險。 |
| GKE 節點集區：高風險公告，透過 SA 模擬取得過多權限 | GKE 節點集區有高風險公告，指出該集區透過服務帳戶 (SA) 模擬功能，對其他資源擁有過多權限，提高提權和未經授權存取的風險。 |
| 服務帳戶的金鑰未輪替，且權限過多 | 服務帳戶使用長期未輪替的金鑰，且權限過多，增加憑證遭盜用、未經授權存取和提權的風險。 |
| 具備使用者自行管理金鑰的服務帳戶權限過多 | 服務帳戶具有使用者管理的金鑰和過多權限，會增加憑證外洩和提權的風險。 |
| 暴露於外部的 GKE 工作負載容易受到 CVE-2025-49844 的影響 (已有攻擊手法，Redis 中的重大遠端程式碼執行) | 找出暴露於外部、執行 Redis 的 GKE 工作負載，這些工作負載容易受到 CVE-2025-49844 的影響，這是重大的遠端程式碼執行漏洞，且已有已知的攻擊手法。 |
| 外部公開的 GCE 執行個體容易受到 CVE-2025-49844 攻擊 (已有攻擊手法，Redis 中的重大遠端程式碼執行漏洞) | 找出對外公開、執行 Redis 的 GCE 執行個體，這些執行個體容易受到 CVE-2025-49844 的影響，這是重大的遠端程式碼執行漏洞，且已知有攻擊手法。 |
| 暴露於外部的 GKE 工作負載容易受到 CVE-2025-32433 的影響 (Erlang SSH 中的重大 RCE) | 找出公開至外部的 GKE 工作負載，這些工作負載執行 Erlang SSH，容易受到 CVE-2025-32433 影響。CVE-2025-32433 是重大遠端執行程式碼漏洞，攻擊者會主動利用。 |
| 暴露於外部的 GCE 執行個體容易受到 CVE-2025-32433 (Erlang SSH 中的重大 RCE) 影響 | 找出對外公開且執行 Erlang SSH 的 GCE 執行個體，這類執行個體容易受到 CVE-2025-32433 影響，這是攻擊者積極利用的重大遠端程式碼執行漏洞。 |
| 暴露於外部的 GKE 工作負載容易受到 CVE-2023-46604 的影響 (Apache ActiveMQ 中的重大 RCE，已在實際環境中遭到入侵) | 找出對外公開的 GKE 工作負載，這些工作負載執行 Apache ActiveMQ，容易受到 CVE-2023-46604 影響。CVE-2023-46604 是 OpenWire 通訊協定中的重大遠端程式碼執行漏洞，攻擊者會主動利用這個漏洞。 |
| 暴露於外部的 GCE 執行個體容易受到 CVE-2023-46604 攻擊 (Apache ActiveMQ 中的重大 RCE，已在實際環境中遭到利用) | 找出公開至外部的 GCE 執行個體，這些執行個體執行的 Apache ActiveMQ 容易受到 CVE-2023-46604 影響，這是 OpenWire 通訊協定中的重大遠端程式碼執行漏洞，攻擊者會主動利用這個漏洞。 |
| GCE 執行個體容易受到 CVE-2025-32463 (Sudo) 攻擊，且有已知攻擊 | 找出容易受到 CVE-2025-32463 攻擊的 GCE 執行個體。CVE-2025-32463 是 Sudo 中的本機提權漏洞，已有已知漏洞攻擊。 |
| GCE 執行個體容易受到重大 Nvidia Container Toolkit CVE (CVE-2025-23266) 影響 | 找出使用 GPU 工作負載的 GCE 執行個體，這些工作負載容易受到 CVE-2025-23266 的影響，這是 NVIDIA Container Toolkit 中的重大提權漏洞。 |
| 外部公開的 GCE 執行個體容易受到高風險 CVE-2025-59287 的影響 (已在實際環境中遭到利用，WSUS 中的重大遠端程式碼執行) | 找出公開至外部的 GCE 執行個體，這些執行個體執行 Windows WSUS，容易受到 CVE-2025-59287 影響。CVE-2025-59287 是重大的遠端程式碼執行漏洞，攻擊者會主動利用。 |
| Vertex AI Workbench：高風險 CVE | 在 Gemini Enterprise Agent Platform Workbench 執行個體偵測到高風險 CVE。這項安全漏洞會增加未經授權存取開發環境的風險，可能導致訓練資料和模型原始碼外洩。 |
| Vertex AI Workbench：高風險 CVE、權限過多 | 具有高風險 CVE 的 Vertex AI Workbench 執行個體，使用了權限過高的服務帳戶。攻擊者可利用這項漏洞提高權限，並入侵其他雲端資源。 |
| Agent Runtime：高風險 CVE，SA 身分可透過 SA 模擬功能存取高價值資源 | 部署至 Agent Runtime 的 AI 代理偵測到高風險 CVE，可模擬有權存取重要資源的服務帳戶。這項安全漏洞會提高提權的風險，以及未經授權存取機密資料或系統的風險。 |
| Agent Runtime：高風險 CVE、可透過 SA 模擬功能存取含機密資料資源的 SA 身分 | 部署至 Agent Runtime 的 AI 代理有高風險 CVE，可透過服務帳戶 (SA) 模擬功能存取含有機密資料的資源。這項安全漏洞會提高未經授權存取資料、提權和潛在資料侵害的風險。 |
| Agent Runtime：高風險 CVE，SA 身分可直接存取高價值資源 | 部署至 Agent Runtime 的 AI 代理含有高風險 CVE，可直接存取高價值資源，因此可能遭到入侵、未經授權存取及資料外洩。 |
| Agent Runtime：高風險 CVE、可直接存取含機密資料資源的 SA 身分 | 部署至 Agent Runtime 的 AI 代理含有高風險 CVE，可直接存取含有機密資料的資源。這項安全漏洞會提高未經授權存取、資料侵害和提權的風險。 |
| Agent Runtime：高風險 CVE、直接權限過多的 SA 身分 | 部署至 Agent Runtime 的 AI 代理具有高風險 CVE，對其他資源擁有過多直接權限，因此未經授權存取、提權和資源遭入侵的風險較高。 |
| Agent Runtime：高風險 CVE、SA 身分透過 SA 模擬功能取得過多權限 | 部署至 Agent Runtime 的 AI 代理有高風險 CVE，可透過服務帳戶 (SA) 模擬，取得其他資源的過多權限，提高提權和未經授權存取的風險。 |
| Agent Runtime：高風險 CVE、可模擬服務帳戶的服務帳戶身分 | 部署至 Agent Runtime 的 AI 代理有高風險 CVE，可模擬其他服務帳戶。這會大幅提高提權、未經授權存取，以及重要雲端資源可能遭到入侵的風險。 |
| Cloud Storage bucket：用於部署 Agent Runtime 的公開 bucket | 公開的 Cloud Storage bucket 用於將 AI 代理部署至 Agent Runtime。這會增加代理程式程式碼外洩和代理程式中毒的風險。 |