Il kernel guest è il kernel del sistema operativo in esecuzione all'interno di una macchina virtuale, microVM o altro ambiente guest isolato. Anche se si trova “dentro” la sandbox, resta comunque sul confine di fiducia perché gestisce percorsi di codice privilegiati, gestione della memoria, emulazione dei dispositivi e chiamate di sistema che gli attaccanti spesso prendono di mira.
Nella sicurezza informatica, i bug del kernel guest sono importanti perché possono portare a un'escalation dei privilegi all'interno del guest, indebolire il contenimento o entrare a far parte di una catena di evasione della sandbox. I difensori considerano i kernel guest componenti ad alto rischio: applicano rapidamente le patch, riducono la superficie di attacco, abilitano l'hardening del kernel e usano il filtraggio delle syscall e altri controlli di isolamento. Negli attacchi reali e nelle valutazioni, i ricercatori spesso cercano prima di tutto difetti nel kernel guest, perché una vulnerabilità lì può essere più vicina alla violazione del confine rispetto a un normale bug dell'applicazione.