Substituindo privilégios ambientes do Linux e superusuários root por tokens matemáticos infalsificáveis para cada IPC, página de memória e interrupção.
Em um microkernel de capabilities, os direitos ficam na memória do kernel, fora do alcance de aplicações. Os processos usam slots opacos. Mesmo que um invasor tome a pilha de rede, não consegue forjar acesso ao atuador de direção.
Ao criar um worker, o componente pai gera uma capability derivada com direitos reduzidos (ex: somente leitura). Quando o worker termina ou falha, revogar a capability raiz anula instantaneamente todos os descendentes.