容器轻量化：Kern用1.5MB干翻Docker几百MB
内容提要
Kern是一个极简容器运行时，仅1.52MB二进制，无守护进程，启动容器仅需3.5毫秒。它直接调用Linux内核功能，支持OCI标准、Docker Compose及资源管理，适合AI Agent、CI任务等轻量场景。相比Docker的数百MB和守护进程开销，Kern追求极简高效，但安全边界依赖内核，不适用于多租户敌对代码。
延伸解读
轻量化的代价：安全边界与适用场景
Kern将安全边界收缩到Linux内核本身，去除了守护进程等额外攻击面，但这也意味着它无法提供虚拟机级别的隔离。文章明确指出，它不适合运行来自陌生人的敌对多租户代码，而是面向Agent调用、CI任务等“你选择运行并愿意承担后果”的场景。理解这一边界，才能合理评估其风险。
架构取舍：极简依赖与实用妥协
Kern的极简主义体现在依赖树仅含libc，手写JSON和OCI解析，甚至网络请求直接调用系统curl和tar。这种设计带来了1.52MB的体积和极快的启动速度，但也意味着运行环境必须预装curl，且CLI与Docker不完全一致，需要重新学习。这种“用手边工具凑”的思路，是极简与实用之间的平衡。
性能数据的疑点：3.5毫秒的启动真相
文章指出，3.5毫秒从OCI镜像启动容器在物理上难以实现，因为仅读取镜像元数据就可能超过这个时间。作者推测这可能指的是复用已准备好的容器状态，而非从零创建。这一未解细节提醒读者，对性能数据应保持审慎，需进一步查阅官方文档或源码验证。
Q&A
Kern是什么？它和Docker有什么区别？
Kern是一个极简的容器运行时，单个静态二进制文件仅1.52MB，无守护进程，启动容器仅需约3.5毫秒。它直接调用Linux内核功能，而Docker依赖数百MB的守护进程（dockerd）和containerd、runc等多层调用链，开销大、启动慢。
Kern为什么能这么快启动容器？
Kern启动快是因为它没有守护进程，直接调用Linux内核的命名空间、cgroup等功能，省去了Docker中dockerd、containerd、runc等多层中间环节，因此从OCI镜像启动容器仅需约3.5毫秒。
Kern支持哪些功能？
Kern支持完整的OCI容器生命周期（pull、build、commit、push等），支持Docker Compose（可直接运行docker-compose.yml），提供资源管理（CPU、内存、磁盘等），并带有ps、logs、exec、stats等命令行工具以及Python和Node.js SDK。
Kern的安全边界是什么？它适合运行什么样的代码？
Kern的安全边界是Linux内核本身，它依赖内核的命名空间和cgroup实现隔离，没有额外的守护进程攻击面。它适合运行你选择并愿意承担后果的代码，如AI Agent工具调用、CI任务、构建步骤等，但不适合运行来自陌生人的多租户敌对代码。
Kern的适用场景有哪些？
Kern适用于轻量级、用完即走的场景，例如AI Agent调用工具、CI流水线中的隔离构建步骤、边缘设备上的容器运行，以及快速测试镜像。它不适合需要持久化、集群编排或Kubernetes集成的场景。
Kern的CLI和Docker有什么不同？
Kern的CLI与Docker不同，它没有docker ps那样的全家桶命令，而是提供ps、logs、exec、stats、inspect、wait、top等命令。此外，Kern在pull镜像时直接调用系统的curl和tar，因此要求系统预装curl，这在某些CI环境中可能是个坑。
Kern是用什么语言写的？它的依赖树有什么特点？
Kern是用Rust写的，但它的亮点在于整个依赖树只有libc，没有其他第三方库。JSON解析和OCI清单解析都是手写的，网络请求直接调用系统的curl和tar，因此编译出的静态二进制非常小（1.52MB），且不依赖常见的库如openssl或serde。
Kern是容器运行时吗？为什么有人质疑这一点？
Kern自称为容器运行时，但有人质疑因为它不实现CRI（Container Runtime Interface）。Kern的作者承认，他所说的runtime是Docker/Podman意义上的，即一个二进制搞定pull、build和生命周期。Kern能启动容器、管理镜像、提供CLI，但没有守护进程和CRI实现，因此定位独特。
