Sandbox Espacio aislado
Ejecutar código en un entorno fuertemente restringido donde solo alcanza lo estrictamente necesario. El punto de partida es que el código será comprometido — la única pregunta es cuánto se pierde cuando ocurra.
El navegador es el ejemplo más claro: cada pestaña corre en su propio proceso, sin acceso al sistema de archivos ni derecho a hablar con la red directamente, y toda petición de ese tipo pasa por un proceso padre que la controla. En Linux los sandboxes se construyen con seccomp-bpf, espacios de nombres, cgroups y Landlock; macOS tiene App Sandbox con ficheros de permisos, Windows tiene AppContainer. Un paso más allá está gVisor, que coloca su propia implementación de núcleo entre la aplicación y el núcleo real, y las micro-VM como Firecracker. La fuga de sandbox es una clase de vulnerabilidad en sí misma y, por eso, la mejor pagada en los programas de bug bounty.