2026年7月31日 C言語の依存ライブラリがプロセス全体をクラッシュさせる。WebAssemblyがそれを防ぐ。 単一のCライブラリを隔離するためにコンテナを使うのは大げさすぎる。WebAssemblyにコンパイルし、WASIサンドボックス内で実行すれば、メモリ安全性、ケイパビリティベースのファイルシステムアクセス、クラッシュ封じ込めをDockerなしで実現できる。 hardware-assisted-safetysandboxingcwebassembly
2026年6月28日 依存関係は環境変数を読める。JavaScriptはそれを許している Ambient Authorityとは、Node.jsプロセス内のあらゆるコードがファイルシステム、ネットワーク、環境に触れられる状態のことだ。ここでは、lockdown、compartment、明示的なcapabilityの受け渡しによってそれを剥ぎ取る方法を解説する。 capability-based-securityjavascriptambient-authoritysandboxing
2026年6月26日 依存ライブラリがディスク上の任意のファイルを読める。cap-std は許可を求めさせる Rust の標準ライブラリはあらゆる依存ライブラリに対して、暗黙的なファイルシステム権限を付与する。cap-std はそれを能力ベースの API に置き換え、コードがパスを開く前にそのアクセス権を証明することを強制する。 capability-based-securityrustcap-stdsandboxing
