Zwei Isolationsschichten
Grok beschränkt sich selbst per Landlock, zusätzlich zur bubblewrap-Sandbox. Vor der Installation prüft das Panel, ob der Kernel Landlock auf den Benutzer des Arbeitsbereichs tatsächlich anwendet; wenn nicht, wird die Installation abgelehnt und das Paket gar nicht erst heruntergeladen.