Jenkins 用 SSH 登录 VM 部署，登录所有目标机的凭据和应用配置都集中在 CI 控制器上。方向反过来之后，控制器被攻破也登录不了生产机，代价在部署结果的反馈、有顺序的部署、每台 VM 上的部署脚本。K8s 上这已是主流，VM 上也有先例。

InfoQ 总结 GitHub Engineering 2026 年 4 月那篇文章：修复系统的部署链路自己依赖着待修的系统，eBPF 挂在部署进程的 cGroup 网络出口上把这条隐性依赖管住，笔记里还过了一遍 eBPF 在 Cloud Native 项目里别的落地点。