Тут не всё так однозначно – контейнеры реально уязвимы, но и защиты сейчас есть разные и не только патчи. При правильной настройке и использовании hardened runtime вроде gVisor уже сложнее вылезти из контейнера, хотя полностью исключить риски не получится. Главное, не забывать, что контейнер – это не полноценная виртуалка и изоляция далеко не железобетон.