Sandlåda Sandboxing
Att köra kod i en kraftigt begränsad miljö där den bara når det den absolut måste. Utgångspunkten är att koden kommer att kompromissas — frågan är bara hur mycket som går förlorat då.
Webbläsaren är det tydligaste exemplet: varje flik körs i en egen process utan filsystemsåtkomst och utan rätt att prata direkt med nätverket, och all sådan begäran går genom en kontrollerande huvudprocess. På Linux byggs sandlådor med seccomp-bpf, namnrymder, cgroups och Landlock; macOS har App Sandbox med tillståndsfiler, Windows AppContainer. Ett steg längre finns gVisor, som lägger en egen kärnimplementation mellan applikationen och den riktiga kärnan, och mikro-VM:er som Firecracker. Sandlådeflykt är en egen sårbarhetsklass och betalas därför högst i bug bounty-program.