主要观点：世界险些遭遇通过 libsystemd 依赖 liblzma 引入的 SSH 后门，CHERIoT 旨在防范此类攻击，它在各层提供工具降低风险，其起源是解决库隔离问题，通过将源语言指针转换为 CHERI 能力实现细粒度内存安全，CHERIoT 平台能防止类似 liblzma 的攻击，提供共享库和隔离子系统的抽象，隔离子系统可导出隔离状态，隔离子系统边界成为审计边界，可据此进行审计并定义第三方组件的权限。
关键信息：恶意 actor 向 liblzma 引入后门，CHERI 最初为解决库隔离问题而创建，在 CHERI 系统中源语言指针变为 CHERI 能力，CHERIoT 平台有共享库和隔离子系统抽象，隔离子系统可通过密封机制共享状态，隔离子系统边界可用于审计，链接 CHERIoT 固件图像可获得包含相关信息的 JSON 报告，工具可据此检查隔离子系统结构。
重要细节：liblzma 攻击利用 UNIX 共享库模型，CHERI 从最初的标注指针到纯能力模型，CHERIoT 隔离子系统有私有代码和全局变量，共享库函数在调用者上下文中运行，传递给隔离子系统边界的参数可受限，密封机制用于提供类型安全的不透明类型，静态密封对象用于引导各种操作，RTOS 利用密封机制移除调度器的可信计算基部分，跨隔离子系统调用机制基于密封，链接固件图像可得到 JSON 报告用于审计等。