公网 22 端口几分钟就会被扫。改端口只是减少噪音，真正有效的是只认密钥、限制来源、把审计做起来。

容器只是命名空间，不是沙箱。实际事件里绝大多数逃逸不是 0day，而是 compose 里多写的那一行。

四次著名事件，技术细节不同，模式一致：信任建立在人身上，而不是代码上。防御的目标不是零风险，而是缩短暴露窗口。