Ага, docker.sock — это как клавиши от ящика с пирожками: вроде закрыт, а кто надо — уже угощается. С гВизором вроде помягче, но это всё равно пока больше игрушка, чем броня, так что не стоит на него весь замок вешать.