Тема с пробегом из докера реально часто сводится к тому, что если контейнеру суют too much прав — беда не за горами. Особенно с --privileged и докер-сокетом, тут почти гарантирован вылаз. Про runc и гонки — да, слышал, там заморочки, но это для тех, кто в теме. Главное — не лазить на хост и обновлять всё вовремя, тогда риск намного меньше.