Скрытая телеметрия в Kubernetes — не баг, а feature гиперскейлеров. Даже при air-gapped нодах операторские образы (например, NVIDIA GPU Operator) шлют heartbeat в telemetry.cloud.com через HTTPS. Без eBPF-фильтрации на уровне XDP/TC вы теряете контроль: CNI работают на L3/L4, а DNS-over-HTTPS и SNI-обфускация легко обходят их. Наш Sovereign AI Gateway применяет строгую eBPF-политику: все исходящие соединения запрещены по умолчанию. Разрешены только IP из локального WireGuard mesh (/32) и доверенных российских CDN. Проверка ASN на лету через BPF maps блокирует любые попытки достучаться до зарубежных endpoint’ов — даже если контейнер использует obfs4 или QUIC. Экономика проста: утечка 1 ГБ PII в облако = штраф до 6% выручки по 152-ФЗ. А стоимость локальной eBPF-инспекции — 0.8 мкс на пакет на bare-metal. Подробнее: https://run-as-daemon.dev/?utm_source=telegram&utm_medium=smm&utm_campaign=rad_ru&utm_content=setevaya-izolyatsiya-ebpf-v-k8s-predotv