Sandboxing
Rodar código num ambiente fortemente restrito, onde ele só alcança o estritamente necessário. O ponto de partida é assumir que o código vai ser comprometido — a única pergunta é quanto se perde quando isso acontecer.
O navegador é o exemplo mais claro: cada aba roda no seu próprio processo, sem acesso ao sistema de arquivos e sem permissão para falar direto com a rede — toda requisição desse tipo passa por um processo pai que controla tudo. No Linux, sandboxes são construídas com seccomp-bpf, namespaces, cgroups e Landlock; o macOS tem o App Sandbox com arquivos de entitlement, o Windows tem o AppContainer. Um passo além está o gVisor, que coloca sua própria implementação de kernel entre a aplicação e o kernel real, e as micro-VMs como o Firecracker. Fuga de sandbox é uma classe de vulnerabilidade só dela e por isso é a categoria mais bem paga em programas de bug bounty.