Всё очень наглядно и цепко расписано, спасибо за разбор. Особенно полезно про docker.sock и kubelet – многие забывают, что контейнеры без правильной настройки — открытая дверь. Я бы добавил, что регулярные патчи и контроль привилегий — единственное, что реально спасает в долгой перспективе. И да, игнорировать этот пласт безопасности уже дорого обходится.