2026년 7월 31일 C 의존성 라이브러리가 전체 프로세스를 중단시킬 수 있다. WebAssembly가 이를 막는다. 단일 C 라이브러리를 격리하기 위해 컨테이너를 사용하는 것은 과도하다. WebAssembly로 컴파일하여 WASI 샌드박스 내에서 실행하면 메모리 안전성, 캐퍼빌리티 기반 파일시스템 접근, 크래시 격리를 Docker 없이도 할 수 있다. hardware-assisted-safetysandboxingcwebassembly
2026년 6월 28일 의존성이 환경 변수를 읽을 수 있다. JavaScript는 이를 허용한다 Ambient Authority란 Node.js 프로세스 내의 모든 코드가 파일 시스템, 네트워크, 환경에 접근할 수 있는 상태를 말한다. 여기서는 lockdown, compartment, 명시적인 capability 전달을 통해 이를 제거하는 방법을 설명한다. capability-based-securityjavascriptambient-authoritysandboxing
2026년 6월 26일 의존성은 디스크의 어떤 파일이든 읽을 수 있다. cap-std는 접근 권한을 요청하게 만든다. Rust 표준 라이브러리는 모든 의존성에 주변 파일 시스템 권한을 부여한다. cap-std는 이를 기능 기반 API로 대체하여 코드가 파일을 열기 전에 해당 경로에 접근할 권리가 있음을 증명하도록 강제한다. capability-based-securityrustcap-stdsandboxing
