容器提供进程级隔离，但依赖主机共享内核。seccomp（安全计算模式）控制容器进程的系统调用，默认Docker seccomp配置阻止40多种危险调用。用户可自定义配置以增强安全性，结合其他安全特性形成防御模型，从而降低攻击者利用漏洞的可能性。