Un flusso di lavoro di copia da container a host è qualsiasi processo che trasferisce file da un ambiente container isolato alla macchina host. In pratica, questo include strumenti di amministrazione e automazione che estraggono log, configurazioni, backup o artefatti di build dai container nel file system dell'host.
È importante perché la copia attraversa un confine di fiducia. Se la gestione dei percorsi è difettosa, il contenuto del container controllato da un attaccante può essere scritto in una posizione inattesa dell'host, sovrascrivendo script, configurazioni o altri file sensibili. I difensori riducono il rischio trattando le destinazioni di copia come input sensibili, limitando chi può avviare operazioni di copia, mantenendo aggiornati gli strumenti per i container e evitando trasferimenti da container non attendibili. Una validazione accurata dei percorsi, il privilegio minimo e il monitoraggio di modifiche inattese ai file dell'host sono controlli fondamentali.