privileged, змонтований docker.sock, hostPath чи діра в ядрі виводять із контейнера на ноду. Спитай себе «що просочується крізь межу - пристрої, сокети, спільні неймспейси». Порівняй із PodSecurity restricted і скинутими capabilities