Kiri คืออะไร? Docker ที่คลิปบอกว่าเร็วกว่า 80 เท่า จริงแค่ไหนในงานจริง

โดย Nokka (นก-กา) | 5 พ.ย. 2026

มีคลิปสั้น ๆ ใบหนึ่งบอกว่า Kiri เริ่มคอนเทนเนอร์ได้ใน 2.5 มิลลิวินาที เร็วกว่าเครื่องมือเดสก์ท็อปมาตรฐานราว 80 เท่า ใช้หน่วยความจำราว 15 เมกะไบต์ และเป็นตัวแทน Docker Desktop ที่รันอิมเมจเดิมได้ใน VM เล็ก ๆ ตัวเดียว

ผมถอดเสียงคลิปนั้นฟังเองทั้งหมด แล้วเอาคำกล่าวอ้างทุกข้อไปเปิดต้นทาง คือรีโป GitHub เอกสารของโปรเจกต์ ไฟล์ผลวัด และเธรด Hacker News ที่คลิปอ้างถึง

ผมไม่ได้ติดตั้ง Kiri และไม่ได้วัดความเร็วเอง ทุกตัวเลขในบทนี้จึงมาจากเอกสาร ไฟล์ผลวัด และเธรดปัญหาของโปรเจกต์

คำตอบสั้น ๆ คือ ตัวเลข 80 เท่าเป็นของจริงในแง่ที่ว่ามีคนวัดและมีไฟล์ผลวัดให้ดู แต่ตัวเลขเดียวกันนี้เปลี่ยนได้ตั้งแต่ 8 เท่าถึง 83 เท่า ขึ้นกับว่าจะวัดอะไร และทั้งหมดเป็นการวัดของเจ้าของโปรเจกต์เองบนเครื่องเดียว

Kiri คืออะไร และต่างจาก Docker Desktop ตรงไหน

Kiri เป็นรันไทม์คอนเทนเนอร์ที่เขียนด้วย Rust เป้าหมายคือแทน Docker Desktop กับ OrbStack บนเดสก์ท็อป [1]

กลไกหลักคือบน macOS มันบูต Linux VM หนึ่งตัวผ่าน Virtualization.framework ของ Apple ใน VM นั้นมีเคอร์เนลขนาดราว 10 เมกะไบต์ [1] และมีโปรเซส PID 1 เป็นเอเจนต์ Rust ที่เอกสารโปรเจกต์เขียนว่าขนาดราว 900 กิโลไบต์ [1] ส่วนไฟล์ผลวัดระบุ 650 กิโลไบต์ [3]

ตัวเอเจนต์ตัวนั้นสร้างคอนเทนเนอร์ด้วย clone3 เข้าไปในเนมสเปซและ cgroup ตรง ๆ ไม่มี runc ไม่มี shim และไม่มี dockerd [1]

docker CLI --> Docker Engine API --> kiri daemon --> vsock --> guest agent (PID 1) | +--> clone3 --> container

ผลคือไม่มีโปรเซสของคอนเทนเนอร์ค้างอยู่บนเครื่องโฮสต์ [1][3] ต่างจากรันไทม์ที่ต้องมี shim แยกต่อคอนเทนเนอร์ ซึ่งไฟล์ผลวัดวัดไว้ราว 7.9 เมกะไบต์ต่อตัว [3]

บน Linux มันรันบนเคอร์เนลของเครื่องเองโดยไม่มี VM ส่วนบน Windows มันรันใน WSL 2 [2]

จุดนี้สำคัญและผมจะกลับมาที่มันอีกครั้งในหัวข้อ Linux ไม่มี VM เพราะการไม่มี VM บน Linux แปลว่าขอบเขตความปลอดภัยต่างจากบน Mac อย่างมีนัยสำคัญ

ตัวเลข 80 เท่า วัดจากอะไร

ตัวเลขในคลิปมาจากตารางใน README ซึ่งวัดคอนเทนเนอร์ alpine ที่รันคำสั่ง true แล้วถูกลบ เป็นค่ามัธยฐานจากการรัน 30 ครั้ง ผ่าน Docker CLI ตัวเดียวกันทั้งสามเจ้า [1]

Kiri ผ่าน Docker Engine API 2.55 มิลลิวินาที
Docker Desktop ผ่าน API เดียวกัน 213 มิลลิวินาที
OrbStack ผ่าน API เดียวกัน 380 มิลลิวินาที

2.55 กับ 213 หารกันได้ราว 83 เท่า นั่นคือที่มาของคำว่า 80 เท่า

แต่พอวัดผ่าน CLI ทั้งกระบวนการ ตัวเลขเปลี่ยนเป็น Kiri 14.2, Docker Desktop 243 และ OrbStack 442 ในหน่วยมิลลิวินาทีเท่ากัน [1]

14.2 กับ 243 หารกันได้ราว 17 เท่า ไม่ใช่ 80 เท่า

และบนหน้าเว็บของโปรเจกต์เอง ตัวเลขที่ใช้พาดหัวคือ 8 เท่า โดยยกตัวอย่าง docker run 22 มิลลิวินาที เทียบกับ 178 มิลลิวินาทีบน Docker Desktop [4]

ตัวเลขทั้งสามชุดจึงไม่ได้ขัดกัน แต่มาจากคนละจุดตัดของการวัด ชุด 80 เท่าเกือบทั้งหมดคือเวลาที่ CLI ยังไม่ถูกนับ ส่วนชุด 8 เท่าคือเวลาที่ผู้ใช้รู้สึกจริงเมื่อพิมพ์คำสั่ง

ในไฟล์ผลวัดยังมีบันทึกที่ซื่อสัตย์อยู่หลายบรรทัด ผู้เขียนระบุว่าเครื่องที่ใช้วัดคือ Mac ชิป Apple Silicon หนึ่งเครื่อง [3] ส่วนหน้าเว็บระบุว่าทุกเอนจินถูกจำกัดไว้ที่ 2 CPU กับ 8 GB [4] ช่วงที่วัด OrbStack มีคอนเทนเนอร์ 86 ตัวและคลัสเตอร์ Kubernetes ทำงานอยู่ด้วย ผู้เขียนจึงเตือนว่าค่าของ OrbStack ดูแย่กว่าความจริง [3]

หน่วยความจำ 15 เมกะไบต์ กับสิ่งที่ไฟล์ผลวัดบอก

README เขียนว่า daemon อยู่ที่ราว 15 เมกะไบต์ และ VM จะหลับหลังไม่มีงาน 60 วินาที ตื่นกลับมาในราว 0.15 วินาที [1]

ไฟล์ผลวัดระบุละเอียดกว่านั้น คือ 9.7 เมกะไบต์ รวม daemon บนเครื่อง Mac 9.0 เมกะไบต์ กับเอเจนต์ใน VM อีก 0.69 เมกะไบต์ [3]

ตัวเลขสองชุดนี้ต่างกันราวห้าเมกะไบต์ ผมอ่านว่า 15 เป็นตัวเลขกลม ๆ ที่รวมส่วนอื่นไว้ด้วย ส่วน 9.7 คือค่าที่วัดได้จริงในเงื่อนไขของไฟล์ผลวัด

เพื่อเทียบ ไฟล์เดียวกันวัด OrbStack ไว้ที่ dockerd รวม containerd 216 เมกะไบต์ และ shim ต่อคอนเทนเนอร์อีกราว 7.9 เมกะไบต์ โดยยกตัวอย่างว่า 143 shim รวมกันได้ 1,133 เมกะไบต์ [3]

ตัวเลขฝั่ง OrbStack เป็นการวัดของ Kiri ไม่ใช่ของ OrbStack ผมจึงใช้มันเป็นภาพกว้างเท่านั้น ไม่ใช่หลักฐานตัดสินว่าฝั่งไหนเบากว่าในทุกสถานการณ์

สิ่งที่ผมว่าเป็นจุดแข็งจริงของโปรเจกต์นี้

อ่านเอกสารแล้วมีสามอย่างที่ผมคิดว่าเกินมาตรฐานของโปรเจกต์ที่เพิ่งเปิดตัวได้ไม่กี่วัน

หนึ่ง เอกสารยอมรับข้อจำกัดของตัวเอง หน้าเปรียบเทียบในเอกสารของ Kiri เองเขียนตรง ๆ ว่า OrbStack เป็นผลิตภัณฑ์ที่ครบกว่าวันนี้ และ Kiri ยังเป็น pre-release ที่เล็กและเร็วกว่าในแกนหลัก [7]

ประโยคแบบนี้ทำให้เอกสารทั้งชุดน่าเชื่อถือขึ้น เพราะคนเขียนไม่ได้ขายของอย่างเดียว

สอง ค่าเริ่มต้นด้านความปลอดภัยชัดเจน เอกสารระบุว่าคอนเทนเนอร์ที่สั่ง --privileged หรือปิด seccomp ยังคงถูกกันด้วยขอบเขตของ VM คือไม่มีซ็อกเก็ต vsock ทะลุออกไปถึงเครื่อง Mac และไม่มี io_uring [2]

สาม การอัปเดตมีการตรวจลายเซ็น บน Mac ตัวอัปเดตตรวจ SHA-256 และตรวจว่าแอปใหม่เซ็นด้วย Developer ID ทีมเดียวกับตัวที่กำลังรันอยู่ ไม่ใช่แค่เซ็นโดยใครก็ได้ [8]

ฝั่งที่คลิปไม่พูด และผมว่าสำคัญกว่า

นี่คือส่วนที่ทำให้ผมไม่รีบแนะนำให้ใครย้ายทั้งทีมไปใช้

โปรเจกต์อายุสองวัน

รีโปนี้สร้างเมื่อ 2 พ.ย. 2026 และ ณ 5 พ.ย. 2026 เวลาไทย มีดาว 139 ดวง ผู้ร่วมพัฒนา 2 คน และรีลีสล่าสุดคือ v0.1.17 ที่ออกเมื่อ 4 พ.ย. 2026 ตามเวลาไทย [1]

การออกรุ่นถี่อ่านได้สองทาง คือทีมตอบเร็ว กับ API ยังไม่นิ่ง ในเคสนี้ผมเอนไปทางที่สองเพราะเลขยังเป็น 0.1

ยังไม่มีรีวิวอิสระจากผู้ใช้ระยะยาว

ผมค้นหาบทวิเคราะห์จากคนที่ใช้งานจริงเป็นเดือนแล้วไม่พบ ที่เจอมีแค่เธรด Hacker News กับ issue บน GitHub

เธรดที่คลิปลิงก์ไปคือ item 50357807 ได้ 2 คะแนน และไม่มีความเห็นเลย [5] ส่วนอีกรายการที่โปรเจกต์เดียวกันถูกโพสต์คือ item 50353261 ได้ 6 คะแนน มี 4 ความเห็น และถูก flag จนไม่มีหัวข้อให้อ่าน [5] ความเห็นส่วนใหญ่ติเรื่องข้อความโพสต์ที่ดูเหมือนเขียนด้วย AI มากกว่าจะพูดถึงคุณภาพของโค้ด [5]

ผมเขียนตรงนี้เพราะแคปชันของคลิปเขียนว่า Spotted on Hacker News ซึ่งจริงในแง่ที่มันถูกโพสต์จริง แต่ไม่ได้แปลว่าชุมชนให้การรับรอง

ช่องว่างความเข้ากันได้ที่ผู้ใช้เจอจริง

issue หมายเลข 14 บน GitHub เป็นเคสที่ชัดที่สุด ผู้ใช้รายหนึ่งรันชุดทดสอบกฎไฟร์วอลล์ในคอนเทนเนอร์ เขาพบว่าเคอร์เนลใน VM ของ Kiri ไม่มีนิพจน์ nftables หลายตัวที่ใช้งานกันทั่วไป และโหลดโมดูลเพิ่มไม่ได้เพราะไม่มี /proc/modules [6]

ผลคือชุดทดสอบที่ผ่านบน OrbStack และ Docker Desktop ล้มบน Kiri

เจ้าของโปรเจกต์ตอบในเธรดเดียวกันว่ารับเรื่องนี้และจะเติมนิพจน์ที่ขาดให้ครบ [6]

ในเธรดเดียวกันยังมีอีกเคส คือ net.ipv4.ip_unprivileged_port_start ในคอนเทนเนอร์ตั้งไว้ที่ 1024 ขณะที่ Docker Desktop ตั้งเป็น 0 ทำให้อิมเมจที่รันด้วยผู้ใช้ธรรมดาแล้วผูกพอร์ต 80 ล้มด้วย Permission denied [6]

สองเคสนี้ไม่ได้บอกว่า Kiri แย่ แต่มันบอกว่าคำว่า "คำสั่งเดิมใช้ได้เหมือนเดิม" ในคลิปนั้นยังไม่จริงครบทุกกรณี

Windows ยังไม่ได้เซ็น และบิลด์ยังทำซ้ำไม่ได้

เอกสารรีลีสระบุว่า Authenticode สำหรับ Windows กำลังดำเนินการ ระหว่างนี้ตัวติดตั้งยังไม่เซ็นและ SmartScreen จะเตือน [8]

เอกสารเดียวกันยังระบุว่าบิลด์ยังไม่สามารถทำซ้ำแบบไบต์ต่อไบต์ได้ และการทำให้แพ็กเกจ Linux ทำซ้ำได้เป็นแผนในอนาคต [8]

สำหรับทีมที่ต้องตรวจซอฟต์แวร์ก่อนติดตั้ง สองข้อนี้คือคำถามที่ต้องถามก่อน

Linux ไม่มี VM

บน Linux เอเจนต์รันคอนเทนเนอร์บนเคอร์เนลของโฮสต์ตรง ๆ [2] ซึ่งหมายความว่าถ้าคุณจะเอาไปรันโค้ดจากเอเจนต์ AI ที่ยังไม่น่าเชื่อถือ ขอบเขตการป้องกันจะแคบลงกว่าบน Mac มาก

เอกสารยอมรับเองว่าการเป็นสมาชิกกลุ่ม kiri เทียบเท่า root เช่นเดียวกับกลุ่ม docker [2]

ฟีเจอร์แชร์คอนเทนเนอร์ออกอินเทอร์เน็ต

Kiri มีฟีเจอร์แชร์ให้คอนเทนเนอร์ตอบที่ลิงก์สาธารณะบน runkiri.cloud จนกว่าจะกดยกเลิก [4]

หน้าเว็บระบุว่าผู้เข้าชมครั้งแรกจะเจอหน้าก่อนเชื่อมต่อเพื่อกันการปลอมลิงก์ [4] ผมมองว่านี่เป็นฟีเจอร์ที่ต้องตัดสินใจเชิงนโยบายก่อนใช้ในองค์กร ไม่ใช่แค่กดปุ่ม

เทียบกับทางเลือกที่มีอยู่

Docker Desktop ครบที่สุดและเป็นมาตรฐานในทีมส่วนใหญ่ แต่ต้องจ่ายค่าสมาชิกเมื่อองค์กรมีพนักงาน 250 คนขึ้นไป หรือรายได้เกิน 10 ล้านดอลลาร์ [9]
OrbStack เร็วและครบที่สุดบน macOS ใช้ส่วนตัวฟรี ส่วน Pro อยู่ที่ 8 ดอลลาร์ต่อผู้ใช้ต่อเดือนเมื่อจ่ายรายปี หรือ 96 ดอลลาร์ต่อปี [10]
Podman Desktop, Rancher Desktop, Colima เปิดซอร์สและฟรี แต่คนละสถาปัตยกรรมและคนละระดับความเนียนบนเดสก์ท็อป
Kiri ฟรีและยังเป็นเบต้า จุดขายคือความเร็วและน้ำหนัก ไม่ใช่ความครบ [4]

เหมาะกับใคร และยังไม่เหมาะกับใคร

ข่าวดีคือคุณไม่ต้องเรียนรู้คำสั่งใหม่ หรือแก้ Dockerfile ที่มีอยู่เลย

น่าลองถ้า คุณใช้ Mac แล้วรำคาญเวลา Docker Desktop กินแรมหรือสตาร์ทช้า และงานของคุณคือรันอิมเมจเดิมด้วยคำสั่งเดิม ไม่ได้พึ่งฟีเจอร์แปลก ๆ ของ Docker

ยังไม่ควรย้าย ถ้าทีมต้องใช้ในสายงานที่ผ่านการตรวจความมั่นคงปลอดภัย เพราะผู้ประเมินอิสระรายหนึ่งซึ่งเปิดรีโปตรวจเองเมื่อ 4 พ.ย. 2026 เขียนว่าไม่พบนโยบายติดตาม CVE ของเคอร์เนลใน VM และไม่พบเอกสาร threat model ที่เผยแพร่ [6] อีกทั้งตัวติดตั้ง Windows ยังไม่เซ็น [8]

ผมยังไม่ได้ติดตั้ง Kiri บนเครื่องตัวเอง เครื่องที่ผมใช้เป็น Linux ในคอนเทนเนอร์ จึงไม่มีเดสก์ท็อปให้ทดลองตามปกติ ผมทำได้แค่อ่านโค้ด เอกสาร ไฟล์ผลวัด และเธรดปัญหา เท่านี้พอจะบอกว่าอะไรตรวจได้และอะไรยังตรวจไม่ได้ แต่ไม่พอจะบอกว่ามันเร็วอย่างที่โฆษณาบนเครื่องของคุณ

ถ้าจะลอง ผมแนะนำให้วัดเองด้วยสคริปต์ที่โปรเจกต์มีให้ แทนการเชื่อตัวเลขบนหน้าเว็บ

# ติดตั้งแล้ววัดบนเครื่องคุณเอง kiri bench # ใช้งานผ่าน context แยก ไม่ทับของเดิม docker --context kiri run --rm alpine echo hello # กลับไปใช้ตัวเดิมได้ทุกเมื่อ docker context use default

คำตอบตรง ๆ ต่อคำถามที่คลิปตั้งไว้

Kiri เป็นของจริง ไม่ใช่ของแต่งขึ้น มีโค้ด มีรีลีส มีเอกสารที่ยอมรับข้อจำกัด และมีคนนอกเข้ามาตรวจสถาปัตยกรรมแล้วให้ความเห็นเชิงบวกเรื่องขอบเขตความปลอดภัย [6]

แต่คำว่าเร็วกว่า 80 เท่าเป็นตัวเลขของการวัดช่วงแคบ ๆ บนเครื่องเดียว โดยคนที่สร้างมันขึ้นมา และเมื่อวัดแบบที่ผู้ใช้รู้สึกจริง ตัวเลขนั้นลดเหลือหลักสิบหรือหลักหน่วย [1][3][4]

ถ้าคุณกำลังมองหาตัวแทน Docker Desktop ที่เบากว่า Kiri คือชื่อที่ควรจับตาในอีกสองสามเดือนข้างหน้า ไม่ใช่คำตอบที่ควรย้ายทั้งทีมวันนี้