Student → Lab API → Lab Instance → Isolated Environment → Task → Telemetry → Assessment → Evidence → Destroy.
Cada lab define objective, difficulty, skills, environment, instructions, tasks, hints, validation, evidence, time_limit y cleanup policy. La instancia debe tener límites de CPU, memoria, tiempo, filesystem y red.
La aplicación principal sólo orquesta. Un worker separado crea entornos efímeros con imágenes versionadas, red aislada y credenciales de corta duración. CTFd puede evaluarse para retos y competición; NetBox puede evaluarse como fuente de verdad de redes. Ningún lab debe comunicarse con producción.
Contrato y límites documentados; ejecución aislada pendiente.