Restreindre l'accès est une idée abstraite ; le mécanisme qui le restreint n'a pas à l'être.

Le Federal Circuit a jugé que le contrôle de l'accès à des ressources, la vérification de l'identité d'une personne et le filtrage de contenus selon leurs caractéristiques sont des idées abstraites, et qu'une revendication qui énonce l'un de ces objectifs mis en œuvre par des composants informatiques génériques est inéligible. La même juridiction a validé des revendications portant sur une technique comportementale d'identification de code malveillant, et sur le stockage d'un enregistrement de vérification dans une région particulière de la mémoire parce qu'il y est plus difficile à altérer. Dans chaque cas, l'objet était la sécurité ; la différence tenait à ce que la revendication énonçait comment la protection est obtenue, ou seulement qu'elle l'est.

Les scores de confiance et les évaluations de risque sont particulièrement exposés, car une revendication qui recueille des signaux, calcule un score et le communique suit le schéma collecte, analyse et affichage que cette juridiction a rejeté à maintes reprises. La description du brevet doit présenter les signaux comme des signaux techniques — ce qu'un dispositif, une connexion ou un système de stockage manifeste réellement — et rattacher le score à quelque chose que le système fait ensuite différemment : refuser une session, mettre un fichier en quarantaine, reprovisionner un dispositif, isoler un nœud. La sécurité est une propriété de la machine, et son amélioration peut constituer une amélioration de l'ordinateur lui-même, mais seulement lorsque la revendication atteint la machine.

Les inventions de sécurité sont généralement construites à partir d'éléments qui, pris isolément, sont anciens : hachage, signatures, échange de clés, défi-réponse, second facteur. Un examinateur qui trouve chaque élément dans une antériorité différente n'a guère besoin de plus qu'une raison de les combiner, et « améliorer la sécurité » est avancé comme cette raison si systématiquement qu'il peut sembler justifier l'ajout de n'importe quelle protection à n'importe quel système. Ce qui est nouveau, c'est l'agencement — ce qui est lié à quoi, quelle partie détient quelle clé, l'ordre dans lequel les étapes s'exécutent — et l'attaque que cet agencement neutralise.

Cet argument pèse davantage lorsqu'il figure dans la description du brevet avant d'être nécessaire. Une demande qui nomme l'attaque à laquelle l'agencement antérieur était exposé — un identifiant rejoué, une identité de dispositif clonée, une cible de réplication à laquelle on ne peut pas confier de données en clair — et qui explique pourquoi la protection qui s'impose à première vue ne l'arrête pas donne à la réponse à un rejet pour évidence un élément du dossier à citer. Celle qui ne décrit que l'agencement abandonne la raison pour laquelle il fonctionne à l'argumentation de l'avocat, qui ne constitue pas une preuve, ou à une déclaration établie après coup, que ce soit devant l'examinateur ou des années plus tard devant le Patent Trial and Appeal Board.