Kum havuzu (sandboxing)
Kodu, yalnızca mutlaka ulaşması gerekenlere erişebildiği sıkı kısıtlı bir ortamda çalıştırmak. Çıkış varsayımı, kodun ele geçirileceğidir — soru yalnızca bunda ne kadar şey kaybedileceği.
Tarayıcı en açık örnektir: her sekme kendi işleminde çalışır, dosya sistemine erişimi yoktur ve doğrudan ağla konuşamaz; her istek denetleyici bir üst işlemden geçer. Linux’ta kum havuzları seccomp-bpf, ad alanları, cgroup’lar ve Landlock ile kurulur; macOS’ta yetki dosyalı App Sandbox, Windows’ta AppContainer vardır. Bir adım ötede, uygulama ile gerçek çekirdek arasına kendi çekirdek uygulamasını koyan gVisor ve Firecracker gibi mikro sanal makineler yer alır. Kum havuzundan kaçış başlı başına bir zafiyet sınıfıdır ve bu yüzden hata ödül programlarında en çok ödeyen kategoridir.