KubeCap은 쿠버네티스 워크로드의 리눅스 capability를 최소 권한 원칙에 맞게 자동으로 축소하는 프레임워크다. 오픈소스 프로젝트 3종을 대상으로 한 실증 조사에서 74.67%가 capability 설정 자체를 갖추지 않았다는 문제를 확인한 것이 출발점이다. KubeCap은 배포 명세를 결정론적 매니페스트로 변환하고, 컨테이너 진입점을 찾아 도달 가능성 기반 시스템콜 분석을 수행한 뒤, LLM을 활용해 리눅스 커널 코드에서 시스템콜-파라미터-capability 관계를 추출해 각 워크로드에 필요한 최소 capability 집합을 추론하고 수정된 매니페스트를 자동 생성한다. Go 기반 쿠버네티스 프로젝트 10종에 적용한 결과 평균 54.97%의 capability 축소율을 달성해 기존 정적 분석 기법들을 능가했다.

• •오픈소스 프로젝트의 74.67%가 capability 설정이 없다는 실증 문제를 확인
• •도달 가능성 기반 시스템콜 분석과 LLM 지원 규칙 추론으로 최소 capability 자동 도출
• •10개 Go 기반 쿠버네티스 프로젝트에서 평균 54.97% capability 축소 달성
• •기존 rapid type analysis·class hierarchy analysis 기법 대비 우수한 성능 입증