J'utilise un gitlab-runner docker avec https://framagit.org. S'ils se font trouer un jour, je ne veux pas que mon serveur se fasse trouer à son tour.

Un début de sécurisation : restreindre le runner sur certaines images avec allowed_images. "If not present all images are allowed".

Et bien sûr : privileged = false (présent par défaut lors de l'enregistrement du runner docker)