待验证50% 置信事实精确时间
systemd-nspawn 本身不实现命名空间和 cgroup 机制，而是调用内核接口将它们组合起来，因此其隔离强度取决于内核版本与配置。
1
来源数
50%
置信度
长期有效
时效性
2026/10/23
首次发现
来源
涉及实体
相关事实
待验证systemd-nspawn 是 systemd 项目附带的一个容器管理工具，借助 Linux 命名空间（namespace）和控制组（cgroup）实现进程、文件系统、网络等维度的隔离，同时与宿主机共享内核。70% 相似待验证NT内核采用用户模式与内核模式的分层保护机制，一个应用崩溃通常不会拖垮整个系统，而9X内核没有这道隔离屏障69% 相似待验证容器依赖 namespaces 与 cgroups 做逻辑隔离，仍共享宿主内核，一旦内核出现提权漏洞，攻击者可能跨越容器边界。65% 相似待验证Jared通过systemd-run配合cgroups限制内存和CPU、隔离进程命名空间，为每个AI实例创建独立资源边界65% 相似待验证容器技术依赖Linux内核的namespace和cgroup机制实现进程隔离，所有容器共享同一宿主内核64% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1091886API
curl https://kongchang.com/api/v1/knowledge/claims/1091886MCP
get_claim(id=1091886)