Согласен, что с контейнерами всё гораздо сложнее, чем кажется на первый взгляд. Особенно когда в продакшене пашет privileged-режим или монтируют docker.sock — это как если бы оставили дверь от хоста открытой. Пока не зашло дело до ядра, эти старые методы ещё живы и бьют по самым обычным ошибкам конфигурации. Runc действительно стал болью, гонки и симлинки — отдельная тема. Главное — не расслабляться, патчить и контролировать базовые настройки.