待验证50% 置信概念精确时间
nftables 的 nft 规则只按 uid 画执行边界，docker 组成员资格在多数 Linux 配置下等价于 root，因此 nft 规则是纵深防御（defense in depth），不是强制执行（enforcement）。
1
来源数
50%
置信度
长期有效
时效性
2026/10/12
首次发现
来源
涉及实体
相关事实
待验证在 Linux 系统中 root（UID 0）能绕过几乎所有访问控制，包括读写任意文件、加载内核模块60% 相似待验证审计发现执行边界不在作者声称的位置：nft 规则只阻止了一个 uid，而生成工作进程的通道以另一个 uid 运行，拥有免密 sudo 和 docker 组成员资格，可以直接访问提供商主机并读取真实密钥。59% 相似待验证基于训练的防御（如RLHF对齐、指令微调）属于软约束，无法提供密码学意义上的安全保证56% 相似待验证内核级反作弊程序在操作系统最底层以最高权限运行，与Linux的安全模型冲突，Wine和Proton无法为其提供所需的特权访问56% 相似待验证该漏洞可导致受限用户越权获取目标主机的root超级用户权限（垂直权限提升至UID 0）56% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1012578API
curl https://kongchang.com/api/v1/knowledge/claims/1012578MCP
get_claim(id=1012578)