用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在编排器已激活并确立了沙箱假设、节点归属与证据优先级之后使用。适用场景是挑战真正取决于运行中容器或 Pod 的实际行为，而非已检入清单所声称的应有状态。
主要能力：区分意图与现实，分别核对 manifest、镜像、启动、实时挂载、实时路由与实时进程；映射 主机 -> 代理 -> 容器或 Pod -> 挂载卷 -> 消费进程的链路；将密钥、渲染配置、init 输出与边车输出同静态清单分开保存；证明一条从挂载或注入状态到可达行为的最小实时路径；用最小的运行时专用链条复现效果。
工作流程分三步：一是映射实时运行时，比较 compose 或 kube 清单与运行中的容器、Pod、挂载卷、环境变量、边车、init 容器和入口点，确认究竟是哪个进程消费了挂载密钥、渲染配置或共享卷输出；二是追踪路由与挂载边界，把虚拟主机、反向代理、服务、容器端口、文件系统挂载与运行时生成的文件路径一起映射，记录关键状态是镜像内置、环境注入、后期挂载还是由 init/边车进程写入；三是报告运行时偏差，指出实时运行时与检入意图最早出现分歧的位置，并保持一条从清单或 compose 意图到实时消费者行为的紧凑证据链。
参考与边界：可加载 references/container-runtime.md 获取运行时清单、挂载链清单及实时与静态常见陷阱。若难点在于 kube API 权限、服务账号信任、RBAC 边界、准入变更或控制器创建的工作负载漂移，应优先使用 $competition-k8s-control-plane；若难点在于 Host 头路由、路径前缀重写或跨节点路由到服务映射，应优先使用 $competition-runtime-routing；若难点在于证明容器到主机的跨越、内核攻击面前提或稳定逃逸原语，应优先使用 $competition-kernel-container-escape；若难点在于容器立足点之后重放 Linux 凭据、套接字信任边界或主机到主机跳转，应优先使用 $competition-linux-credential-pivot。需保留与实时挂载或路由相关的 Compose/Kubernetes 片段、容器 ID、Pod 名、挂载路径、边车输出、渲染配置路径与消费进程，以及仅在运行时可访问的确切路由或文件路径。
限制：本技能仅为下游专用技能，未先激活 ctf-sandbox-orchestrator 时不应使用；默认以简体中文回复，除非用户明确要求英文。资料未提供具体安装命令、收费信息、支持平台与效果数据。