runc
La implementación de referencia del runtime OCI — el pequeño binario en Go que realmente invoca las syscalls de Linux (clone, namespaces, cgroups) para arrancar un contenedor.
Nació de libcontainer de Docker en 2015, cuando Docker se dividió y donó la parte de bajo nivel a la OCI. Toma un bundle (rootfs + config.json), lanza un proceso init, configura los namespaces de pid/net/mount/uts/ipc/user, aplica filtros seccomp y ejecuta execve.
Alternativas: crun (implementación en C, arranque en frío más rápido), gVisor runsc, Kata kata-runtime, youki (Rust). La mayoría de los clústeres en producción siguen usando runc por defecto porque "simplemente funciona".