Rewriting Every Syscall in a Linux Binary at Load Time
> Source: Hacker_News
Execute Primary Source
// Discussion Topic
Linuxバイナリのロード時にsyscall命令をint3等の命令に書き換えることで、KVMベースの軽量なサンドボックスを実現する手法。単一プロセスに特化することで、gVisor等の既存ソリューションよりも高い密度と起動速度、低レイテンシを目指す試みである。
// Community Consensus
技術面では、gVisorとの差別化として「単一プロセス特化による極限の軽量化」を掲げる著者の意図は理解されつつも、int3置換の合理性や、プロセス自身による書き換え検知（Self-checksumming）への対策不足が指摘されている。文体論争については、LLM利用を「コミュニケーションの補助」と見るか「表現の劣化」と見るかで結論は出ておらず、コミュニティの分断が見られる。
// Alternative Solutions
gVisor（ユーザー空間でのカーネル模倣）、seccomp（システムコールのフィルタリング）、ptrace（デバッグ用トラップ）、KVMによる直接的なsyscallトラップ、およびカーネルモジュールによるシステムコールラップ。
// Technical Terms
Senior Engineer Insight
> 本技術を実戦投入する場合、最大の懸念は「検知可能性」と「予測不能なオーバーヘッド」だ。著者は検知回避をスコープ外としているが、高度なマルウェアやアドバーサリアルなコードは、自身のメモリ領域をスキャンしてsyscall命令の書き換えを容易に検知する。検知された瞬間にサンドボックスを回避する挙動を取られるリスクは無視できない。また、int3置換によるレイテンシ低減の主張も、特定のKVM環境下での理論値に依存しており、実環境でのジッターが許容範囲に収まるかは慎重な検証が必要だ。単一プロセス特化という割り切りは、コンテナのような汎用性を求める現場ではなく、極めて限定的なエッジコンピューティングや、信頼できないコードを高速に大量実行する特殊なランタイム環境においてのみ、検討の余地がある。