ブラウザサンドボックス.

ブラウザサンドボックスは、ブラウザのメインプロセスが、レンダラー・GPU プロセス・プラグイン・ネットワークサービスといった信頼度の低い子プロセスを最小限のケイパビリティに制限するために使う OS 機能の集合です。Chromium は Windows ではジョブオブジェクトと整合性レベル、macOS では Seatbelt、Linux では seccomp-bpf と名前空間を利用し、Firefox も同様のプリミティブを使います。攻撃者の JavaScript やレンダラーのメモリ破壊が成功しても、サンドボックスがファイルアクセス、コマンド実行、他プロセスとの連携を阻止し、完全な攻撃にはさらにサンドボックス脱出が必要です。サイト分離とともに、現代ブラウザのドライブバイ攻撃に対する最重要防御であり、Pwn2Own でも完全なサンドボックス脱出チェーンが要求されます。