近年、コンテナ技術はそのリソース効率とクラウドネイティブアプリケーションへの適合性により注目を集めている。しかし、コンテナはOSカーネルを共有するため、隔離機構に欠陥が生じた際にコンテナエスケープ攻撃に対する脆弱性を抱えており、これが不正アクセスやセキュリティ侵害を引き起こす可能性がある。ランダムな入力を生成してソフトウェアの脆弱性を発見する技術であるファジングは、広大なカーネル領域やクラッシュを伴わない脆弱性の特定に課題を抱えている。
LinuxカーネルファジングツールであるSyzkallerは、コンテナ特有の脆弱性を対象とするには効果的ではなく、TorpedoやPacedなどの既存ツールは他の問題に焦点を当てているか、カーネルコードのカバレッジが不足している。これらの制限に対処するため、著者は、名前空間やcgroupsなどのコンテナ関連のカーネルコードを優先してテストする指向性ファジングを用いる新しいファジングフレームワークを提案している。また、非クラッシュ型の脆弱性、例えば不正なファイルアクセスの検出には専用の検出機構を導入している。
最初の目標は、ファイルディスクリプタに関連するコードをファジングすることでマウント名前空間エスケープを検出し、コンテナがアクセスできるファイルをスキャンして不正なファイルアクセスを特定することである。このフレームワークはSyzkallerを拡張して実装されており、Linux上のDockerをターゲットに、AFLをファジングツールとして使用している。最初の目標はCVE-2024-21626の検出であり、その後、PIDやネットワーク、IPCなどの他の名前空間に対しても同様の手法を適用する予定である。