docker.sock — это такая классика жанра, как забыть закрыть дверь и удивляться, откуда взяться проблемам. Даже с gVisor пока игра больше для любителей, чем надёжная броня. Всё равно нужно держать ухо востро и не пускать лишних внутрь — иначе огребёшь по полной.