gVisor là sandbox runtime cho Docker, đặt một tầng kernel ảo (Sentry) giữa container và kernel host để ngăn chặn container escape. Bài viết hướng dẫn cài đặt runsc, cấu hình Docker và kiểm tra sandbox hoạt động với ví dụ lệnh thực tế.