Un sistema air-gapped è fisicamente scollegato da ogni rete: l'unico modo di toccarlo è esserci davanti. È la difesa estrema per ciò che non deve uscire mai – chiavi di firma, backup anti-ransomware, sistemi industriali critici. Stuxnet ha dimostrato che nemmeno l'air gap è invalicabile (una USB basta), ma alza il costo dell'attacco di ordini di grandezza.
Il concetto si è esteso oltre il cavo staccato: backup logicamente air-gapped (immutabili, credenziali separate), e superfici web air-gapped per design – siti statici che non fanno nessuna chiamata verso terzi: niente CDN, niente analytics, niente beacon. Quest'ultima proprietà si può dimostrare, non solo dichiarare: è la ragione di vita di agssh, che la verifica in modo deterministico e fail-closed contro il deployment live, standard AGSSH-STD-001 alla mano.