gvisor

gVisorはDockerのサンドボックスランタイムで、コンテナとホストカーネルの間に仮想カーネル（Sentry）を挟むことでContainer Escapeを防ぎます。runscのインストール、Dockerの設定、そしてサンドボックスの動作確認を実際のコマンド例とともに解説します。