容器运行时负责把"声明要一个隔离视图"变成"真的把进程关进去"。链路自上而下：containerd 管理容器生命周期，runc 是底层 OCI 运行时，真正调用 Linux 的 namespace、cgroup、capability、文件系统挂载完成隔离。 容器首进程由运行时以 `execve` 方式拉起（缺位标注：这里是 execve 执行镜像入口程序，不是 `fork+execve` 的 shell 派生模型。K8s 控制器侧的 Go 并发走 goroutine，不触发 fork）。runc 点灯：创建 namespace、挂只读根文件系统、降 capability、套 cgroup。关门：容器退出时回收资源。攻击视角下，runc 与运行时自身的漏洞可以直接突破隔离视图，这属于运行时层缺陷，与 K8s 上层配置缺陷分开定级。