容器算不算安全边界?开发者热议沙箱选型,Kata 与 Firecracker 受推

andreamichi · x · 2026-09-25

安全圈正在争论容器是否曾充当真正的安全边界。引述观点认为：如果逃逸或横向移动需要先利用一个 bug 构建攻击原语，本身就说明存在边界可跨越——K8s Pod 里的 RCE 并不等于控制了宿主节点。容器可以被称为「弱安全边界」，但不能否认边界存在。

发帖人进一步指出，大量沙箱创业公司纯靠容器实现隔离，说明业界普遍高估了容器的安全边界属性；他推荐 Kata Containers 与 Firecracker 作为立即可用的更强安全替代方案（microVM 级隔离）。对做 agent 沙箱、代码执行环境的开发者有直接参考价值。