用途：为运行在 Kubernetes 上的 CoreWeave 裸金属 GPU 云提供命名空间级安全加固基线，重点处理计算凭据（kubeconfig、部署令牌）、推理工作负载间的网络隔离、模型仓库（HuggingFace、容器镜像仓库）访问密钥，以及持久卷上的敏感训练数据保护。
主要能力：将 API、镜像仓库与模型凭据存入批准的密钥管理器，仅向目标工作负载挂载最小密钥；在暴露推理端点前应用命名空间级 RBAC、ResourceQuota 与默认拒绝的 NetworkPolicy；在 CI 中校验镜像与请求负载，并用已知有效和无效负载测试 Webhook 签名；审查访问事件，在疑似泄露后轮换或吊销受影响密钥。资料还给出 API 密钥管理、Webhook 签名验证、输入校验（zod）与日志脱敏的代码示例，以及安全清单和风险缓解对照表。
使用方式：需先指定命名空间负责人并确定数据分级，具备密钥管理器访问权限，且有权在目标命名空间应用 Kubernetes 策略并准备回滚方案。示例命令：kubectl -n inference apply -f networkpolicy-default-deny.yaml；kubectl -n inference get networkpolicy；kubectl -n inference run policy-check --rm -i --restart=Never --image=curlimages/curl -- curl -fsS http://approved-service/health。若预期工作负载被阻断，应添加最小标签化入站规则后重测，不得临时开放全部入站作为诊断手段。
适用场景：GPU 工作负载加固、模型访问管理、推理端点暴露前的安全配置、训练数据持久卷保护。
限制：为社区贡献内容，与 CoreWeave, Inc. 无关联、未获其背书或赞助；CoreWeave 为其注册商标。资料未提供具体收费、价格、平台支持范围或效果保证，相关事实暂未提供。