BPF / eBPF
Maszyna wirtualna w jądrze Linuksa, która uruchamia programy w piaskownicy w zdefiniowanych punktach zaczepienia — bez modułu jądra i bez restartu.
Zaczęło się w 1992 roku jako filtr pakietów dla tcpdump. eBPF (2014) uogólnił ten pomysł: więcej rejestrów, prawdziwe struktury danych i punkty zaczepienia wszędzie — w wywołaniach systemowych, stosie sieciowym, punktach śledzenia i wejściach do funkcji.
Weryfikator jeszcze przed załadowaniem dowodzi, że program się zakończy i nie czyta nic poza własną pamięcią, dzięki czemu uruchamianie kodu użytkownika w jądrze jest bezpieczne. Na eBPF opierają się Cilium, Falco, Katran i praktycznie cała nowoczesna obserwowalność w Linuksie.