kern

kern 是面向不受信任负载的沙箱与虚拟资源运行时，AI 生成的代码也在其列。它能在约 3.5 毫秒内从 OCI 镜像启动一个由内核强制隔离的真实容器，全部实现只是一个 1.52MB 的静态二进制文件，没有守护进程也没有套接字。在你调用之前什么都不在运行，因此静置时不占内存。隔离依靠 Linux 命名空间与 cgroups，而不是虚拟机。Rust 侧唯一的依赖是 libc，这正是二进制能保持如此小巧的原因。