gVisor

gVisorとは、コンテナ実行環境におけるセキュリティを飛躍的に高めるために設計された、オープンソースのアプリケーションサンドボックス技術です。従来のコンテナ技術はホストOSのカーネルを共有する構造であるため、脆弱性がホスト全体に波及する懸念がありました。これに対しgVisorは、Go言語で実装された独自のユーザー空間カーネルを介在させます。コンテナから発行されるシステムコールをこの独自カーネルがインターセプトして適切に処理することで、ホストOSとの間に強固な分離境界を構築します。これにより、コンテナがホストのカーネルへ直接アクセスすることを制限し、攻撃対象領域を最小化する役割を担っています。