BPF / eBPF
Máquina virtual dentro do kernel do Linux que executa programas isolados em pontos de gancho definidos — sem módulo de kernel, sem reiniciar.
Começou em 1992 como filtro de pacotes para o tcpdump. O eBPF (2014) generalizou a ideia: mais registradores, estruturas de dados de verdade e ganchos por toda parte — chamadas de sistema, pilha de rede, tracepoints, entradas de função.
Um verificador comprova, antes de carregar, que o programa termina e não lê fora da própria memória, o que é o que torna seguro rodar código de usuário dentro do kernel. Move o Cilium, o Falco, o Katran e praticamente toda a observabilidade moderna do Linux.