멀티스레드 프로세스에서 한 스레드에만 필터를 설치했습니다. TSYNC를 적용할 때 실패 조건과 적용 범위를 어떻게 확인하나요?

seccomp filter는 thread 단위이므로 한 thread에 설치한 filter가 프로세스 전체를 자동으로 덮지 않습니다. T1에 mount=ERRNO를 설치하고 T2가 아직 filter가 없으면 T2의 mount 호출은 다른 결과를 낼 수 있습니다. SECCOMP_FILTER_FLAG_TSYNC는 caller의 filter chain을 다른 thread에 적용하려는 요청이며, 기존 chain과 결합할 수 없는 thread가 있으면 실패할 수 있습니다. seccomp(2) 계약에 따라 성공 여부, 호환되지 않는 TID 반환 또는 TSYNC_ESRCH에 따른 ESRCH를 기록해야 하며, 실패한 호출 뒤 새 filter가 전체에 원자적으로 설치됐다고 가정하지 않습니다. 설명용 상태를 T1=base, T2=incompatible로 두면 TSYNC 결과가 실패했을 때 T1·T2의 기존 상태를 기준으로 fail-closed 종료나 재시작을 선택합니다. 이 값은 Linux thread 실험 결과가 아니라 API 계약을 적용한 예상 trace입니다. TSYNC 성공 후에도 미래 thread의 상태를 별도 추적합니다. child/thread 생성은 부모 filter를 상속하지만 “모든 미래 thread에 실시간 동기화”는 아닙니다. 검증은 TID 목록, 설치 호출 반환값/errno, 각 thread의 금지 syscall, seccomp log를 함께 저장합니다. filter 설치 전에 clone, pthread_create, loader와 로그 syscall을 막으면 초기화가 자기 정책에 의해 실패할 수 있으므로 관찰 단계에서 누락을 찾고 운영 action을 좁힙니다. 정책 구현은 worker 생성 전 일괄 설치할지, 생성 후 TSYNC할지 한 방식으로 고정하고 비호환 chain을 Composition Root에서 관리하겠습니다.