kern

kernは信頼できないワークロードを対象にしたサンドボックス兼仮想リソースランタイムで、AIが書いたコードもその対象に含まれます。OCIイメージからカーネルが強制する本物のコンテナをおよそ3.5ミリ秒で起動し、実体は1.52MBの静的バイナリひとつだけ、デーモンもソケットもありません。呼ぶまで何も動いていないため、待機時のメモリ使用量もゼロです。隔離は仮想マシンではなくLinuxのnamespaceとcgroupsが担います。Rust側の依存がlibcだけであることが、このバイナリサイズを保っている理由です。