Kata Containers
OCI-совместимая среда выполнения, запускающая каждый контейнер в собственной лёгкой виртуальной машине: настоящая изоляция на уровне ядра при удобстве контейнеров.
Объединение Intel Clear Containers и Hyper.sh runV (2017). Использует урезанное ядро Linux в KVM (гипервизором могут быть Firecracker или Cloud Hypervisor). Стартует примерно за 150 мс. Подключается в Kubernetes как RuntimeClass, так что накладные расходы несут только чувствительные нагрузки.
Подходит для мультитенантности и исполнения недоверенного кода (CI-раннеры, песочницы для ИИ). Конкурент — gVisor (ядро в пользовательском пространстве вместо настоящей ВМ: легче, но менее совместимо).