内核级限制通常借助 seccomp、Landlock、cgroup 等机制，在系统调用进入内核时按白名单或规则进行拦截，因此比应用层钩子更难绕过。