用途：该技能为 ctf-sandbox-orchestrator 的下游专用子技能，仅在 ctf-sandbox-orchestrator 已启用并确立了沙箱假设、节点归属与取证优先级后使用；否则应先回到该上游技能。适用于挑战核心在于实时容器或 Pod 实际行为、而非仓库内清单所声明行为的情形。除非用户明确要求英文，回复使用简体中文。
主要能力：区分意图与现实，覆盖清单、镜像、启动、实时挂载、实时路由与实时进程；映射 主机 → 代理 → 容器或 Pod → 挂载卷 → 消费进程；将密钥、渲染配置、init 输出与 sidecar 输出同静态清单分开保存；证明一条从挂载或注入状态到可达行为的最小实时路径，并用最小的运行时特定链路复现效果。
使用方式：工作流分三步。一是映射实时运行时，将 compose 或 kube 清单与运行中的容器、Pod、挂载卷、env、sidecar、init 容器和入口点对比，识别实际消费挂载密钥、渲染配置或共享卷输出的进程。二是追踪路由与挂载边界，把虚拟主机、反向代理、服务、容器端口、文件系统挂载与运行时生成的文件路径一并映射，记录关键状态是镜像内置、env 注入、稍后挂载还是由 init/sidecar 写入。三是报告运行时偏差，指出实时运行时与签入意图最早出现分歧的位置，并保留一条从清单或 compose 意图到实时消费行为的紧凑证据链。参考文件：references/container-runtime.md，含运行时清单、挂载链清单及常见实时与静态差异陷阱。
边界与替代：若难点为 kube API 权限、服务账号信任、RBAC 边界、准入变更或控制器创建工作负载漂移，优先使用 $competition-k8s-control-plane；若为 Host 头路由、路径前缀重写或跨节点路由到服务映射，优先 $competition-runtime-routing；若为容器到主机跨越、内核攻击面前提或稳定逃逸原语，优先 $competition-kernel-container-escape；若为容器立足后重放 Linux 凭据、套接字信任边界或主机间跳转，优先 $competition-linux-credential-pivot。应保留与实时挂载或路由相关的 compose/Kubernetes 片段，容器 ID、Pod 名称、挂载路径、sidecar 输出、渲染配置路径与消费进程，以及仅运行时才可达的确切路由或文件路径。