Организация FreeBSD Foundation объявила о выделении денежного гранта на создание работающего в пространстве пользователя фреймворка для упрощения использования разработчиками конечных программ возможностей подсистемы Capsicum. Разработкой фреймворка займётся Pawel Jakub Dawidek, известный созданием порта ZFS и GEOM-классов eli, mirror, gate, label и journal. Проект планируется завершить уже в августе этого года. Финансирование предоставлено компанией Google, которая, наряду с Кэмбриджским университетом, является одним из создателей Capsicum.

В состав создаваемого фреймворка будет входить компоновщик runtime-компонентов (runtime linker) и библиотека, предоставляющая набор функций ключевых стандартных библиотек, адаптированных для выполнения в sandbox-режиме и улучшенных в плане противостояния уязвимостям. Предоставляемые библиотекой функции будут изначально ограничены в выполнении нештатных действий, не предусмотренных логикой их работы (все лишние системные вызовы будут блокированы). Таким образом, для включения защиты разработчику приложения будет достаточно пересобрать свою программу с задействованием библиотеки libcapsicum, без модификации кода.

Подсистема Capsicum опционально включена в состав ядра FreeBSD 9 в качестве экспериментальной возможности и будет активирована по умолчанию начиная с FreeBSD 10. Capsicum нацелен на дополнение традиционного централизованного мандатного контроля доступа средствами для защиты отдельных приложений и активируется на стороне самого приложения, позволяя организовать изолированное выполнение приложений и ограничить использование приложениями определённых функций. Capsicum расширяет POSIX API и предоставляет несколько новых системных примитивов, нацеленных на поддержку модели безопасности через управление возможностями объектов ("object-capability") для Unix-систем. Используя Capsicum приложение можно запустить в режиме повышенной изоляции (sandbox), при котором программа сможет выполнять только ранее специфицированные штатные действия.