为容器提供用户态内核，在 Go 中实现 Linux 系统调用接口，让 Docker 和 Kubernetes 容器获得更强的安全隔离，同时保持 OCI 兼容。
把 WireGuard 隧道封装成 SOCKS5 代理，让不支持 WireGuard 的程序也能走 VPN 出网，无需额外配置路由。
…--------- 🎉 新功能 一、Skill 沙箱 Skill 执行链采用「进程内护栏 → 独立容器沙箱 → 供应链体检」三层纵深防御架构，全面收敛 LLM 生成命令带来的执行风险，默认以 runner 独立沙箱模式执行： - 进程内执行护栏：废除 Shell 解释器，改为结构化命令解析并阻断元字符注入；启动器白名单仅放行 pytho