Container escape — это не «экзотика», а базовый сценарий – атакующий исполняет код внутри контейнера и дальше ищет путь к хосту через ядро, runtime или мисконфигурацию. Вся проблема в том, что контейнеры делят одно ядро, поэтому успешный escape = компрометация всей ноды и потенциально кластера.

Статья Container Escape Telemetry: Series Overview (вернее сборник статей) делает акцент на телеметрии: одиночные сигналы бесполезны, важно собирать цепочки событий (syscalls, доступ к /proc, работа с runtime сокетами) и коррелировать их. Типичные индикаторы — mount/setns, доступ к docker.sock, попытки эскалации черерз capability и нетипичное поведение процессов внутри контейнера.

Главный takeaway — большинство escape’ов происходит не из-за 0day, а из-за мисконфигов (privileged, лишние capabilities, hostPath). Поэтому detection должен быть поведенческим и контекстным (а лучше – гибридным), а защита — банально про least privilege и контроль рантайма, иначе любой foothold в контейнере быстро превращается в полный захват инфраструктуры.