> докер - программа, работающая от рута, причем с максимально широкими правами -
> всякие аппарморы и группы в панике разбегаются, давая уроду дорогу. А
> управление ей ты дал левому васяну, как только добавил его в
> группу имеющих право доступа к сокету, ему больше вообще ничего уже
> в этой жизни не надо, точнее, он сам себе все возьмет,
> что только захочет.

да ладно? Даже если в ответ демон делает fork() и setuid()?

Даже традиционной системы привилегий достаточно, чтоб сделать все безопасно. Конечно, легко ошибиться и наделать дыр. Но сделать безопасно можно.

И еще раз, проблема проявляется в привелегированных контейнерах. Т.е. таких, где рут внутри == руту в хосте.