共享内核是最大的漏点。namespace 让你看不见别的进程，但一次系统调用出错、一个内核漏洞、一个不当的 capability 授予，都能从容器直达宿主机内核，视图隔离挡不住内核态。 第二个漏点是 capability 与设备挂载。容器默认丢弃大部分 Linux capability，一旦配置里给了特权、挂了宿主目录、授予危险 capability，等于主动在隔离墙上开门。第三个漏点是 cgroup 与隔离配置缺失，限制没配，资源与设备边界敞开。 由此建立 EX-A 的总视角：先判断一个问题属于上层 K8s 配置（鉴权、声明对象、网络策略）还是下层隔离基座（namespace 视图、cgroup 上限、运行时、内核），两层缺陷分开写、分开修，不混为一谈。后续九大部分都在这个地基上展开。 【跨册】Linux 进程、namespace、系统调用与 capability 基础见册1 操作系统底层。fork/execve 与系统调用门禁见册2 C语言。容器逃逸在攻击链中的位置见册4 攻击链路。红队落地视角见册6。 --- # 第一部分 集群控制面（EX-A-01 ~ EX-A-05