В 03:14 после apt upgrade edge-agent получил новый unit. Оператор ранее исправил User=daemon прямо в /lib/systemd/system/edge-agent.service; пакет заменил файл, daemon-reload не вернул настройку. За 86 секунд процесс стартовал от root, прочитал 47 Secret-файлов и увеличил p95 запросов к локальному API с 4 до 19 мс из-за аудита. Диагноз подтверждается без гаданий: systemctl show edge-agent -p FragmentPath -p DropInPaths -p User -p ExecStart; systemd-delta --type=extended; journalctl -u edge-agent -b -o short-monotonic. В ядре проверяем фактическую привилегию: pid=$(systemctl show -p MainPID --value edge-agent); awk '/^(Uid|Gid|CapEff):/' /proc/$pid/status; cat /proc/$pid/cgroup. Ожидаемые User=svc-edge и CapEff=0000000000000000, а не красивый статус active. Исправление: mkdir -p /etc/systemd/system/edge-agent.service.d; printf '%sn' 'Service' 'User=svc-edge' 'Group=svc-edge' 'NoNewPrivileges=yes' 'CapabilityBoundingSet=' > /etc/systemd/system/edge-agent.service.d/10-run-as...