Механизм Ambient Capabilities в Linux работает следующим образом: это набор внешних (охватывающих) возможностей, сохраняемый после execve для непривилегированных программ. 1

Набор внешних возможностей можно изменять с помощью prctl. 1 Этот набор автоматически сужается при сужении соответствующего набора Permitted и Inheritable. 1

Внешние возможности добавляются к набору Permitted и назначаются набору Effective при вызове execve. 14 Выполнение программы, меняющей UID или GID из-за установленного бита set-user-ID или set-group-ID, а также программы, которая может устанавливать возможности для файла, сбрасывает набор Ambient. 14

Ambient Capabilities позволяет передавать возможности во время системного вызова execve и сохранять их для непривилегированного процесса. 2