Команда независимых разработчиков опубликовала первый стабильный релиз открытого рантайма для запуска изолированных контейнеров, написанного на Rust. Проект распространяется под лицензией Apache 2.0, доступен в репозиториях основных дистрибутивов Linux и поставляется готовыми сборками для архитектур x86-64 и ARM64.
Ключевая особенность решения — полный отказ от демона: рантайм запускается как обычный пользовательский процесс и не требует постоянно работающего привилегированного сервиса. По словам авторов, это заметно снижает поверхность атаки и упрощает аудит кода. Заявленное время холодного старта контейнера составляет около 15 миллисекунд, что в разы меньше показателей большинства распространённых аналогов.
Поддерживаются спецификация OCI-образов, cgroups v2, пространства имён ядра и интеграция с Kubernetes через CRI. Отдельно реализован механизм проверки целостности образов на основе подписей Sigstore, причём для новых кластеров он включён по умолчанию. Конфигурация описывается единым декларативным файлом, а состояние узлов можно экспортировать в Prometheus.
Релиз уже протестировали в нескольких продуктовых командах: сообщается о снижении потребления памяти на узлах до 20 % и упрощении процедуры обновления. Следующая версия, как ожидается, получит поддержку Windows, расширенные политики сетевой изоляции и плагинную систему для сетевых драйверов.