Sandboxing
Uruchamianie kodu w mocno ograniczonym środowisku, w którym sięgnie on tylko po to, co absolutnie konieczne. Punkt wyjścia: kod zostanie przejęty — pytanie tylko, ile wtedy stracimy.
Najlepszy przykład to przeglądarka: każda karta działa we własnym procesie, bez dostępu do systemu plików i bez prawa do bezpośredniej komunikacji z siecią; każde takie żądanie przechodzi przez nadzorujący proces nadrzędny. W Linuksie sandboxy buduje się z seccomp-bpf, przestrzeni nazw, cgroups i Landlock; macOS ma App Sandbox z plikami uprawnień (entitlements), Windows — AppContainer. Krok dalej to gVisor, który wstawia własną implementację jądra między aplikację a prawdziwe jądro, oraz mikromaszyny wirtualne, jak Firecracker. Ucieczka z piaskownicy to osobna klasa podatności, a przez to najlepiej opłacana kategoria w programach bug bounty.