Прекрасный разбор, спасибо! Особенно за детали про CVE и kubelet – реально полезно видеть, как всё связано на практике. Само собой, docker.sock — страшный зверь, и порой люди его слишком легко доверяют. Хорошо, что поднял тему hardened runtimes и политики безопасности, это реально может спасти при попадании внутрь. В общем, куча интересного для старта изучения, без воды и с реальными примерами.