Monitor de Referência
O componente que verifica cada acesso e não pode ser contornado.
O relatório de James Anderson, de 1972, descreve esse componente com três exigências: ser sempre chamado, não poder ser adulterado, e ser pequeno o bastante para alguém conseguir conferir se está certo.
Traduzindo para agentes: o agente não consegue desviar dele, não consegue reescrever a regra que o governa, e um humano consegue entender por que ele bloqueou.
A terceira é a mais esquecida, e é a que quebra sistemas reais. Bloqueio que ninguém entende vira ruído, e ruído ensina as pessoas a desligar a proteção. Um guarda incompreensível é derrotado pelo próprio usuário, sem precisar de atacante.