Il blocco in tempo reale è un'applicazione dell'enforcement durante l'esecuzione che arresta o interrompe un comportamento non appena viola una policy di sicurezza o supera un confine. A differenza di una regola verificata solo prima dell'avvio o dopo il fatto, il blocco in tempo reale agisce mentre un processo, un agente o una sessione è attivo.
Nella sicurezza informatica, questo è importante perché molti attacchi hanno successo concatenando rapidamente piccole azioni: aprire una connessione di rete, leggere segreti, richiamare strumenti o spostarsi in un sistema vietato. Il blocco in tempo reale può interrompere questa sequenza negando l'azione, sospendendo il processo o terminando la sessione. I difensori lo usano in sandbox, prodotti EDR ed EPP, gateway web e API e controlli degli agenti per i sistemi di IA. Negli ambienti di IA all'avanguardia, aiuta a impedire a un modello di richiamare strumenti non approvati, raggiungere servizi live o uscire da un confine di test. Il suo valore è la velocità: quando la policy viene applicata immediatamente, ci sono meno possibilità di danni, esfiltrazione o movimento laterale.