Limitare l'accesso è un'idea astratta; il meccanismo che lo limita non lo è necessariamente.

Il Federal Circuit ha stabilito che controllare l'accesso alle risorse, verificare l'identità di una persona e filtrare contenuti in base alle loro caratteristiche sono idee astratte, e che una rivendicazione che enuncia uno di questi obiettivi, perseguito mediante componenti informatici generici, non è ammissibile a brevetto. La stessa corte ha invece confermato la validità di rivendicazioni relative a una tecnica basata sul comportamento per individuare codice malevolo e alla memorizzazione di un record di verifica in una particolare regione di memoria, perché lì è più difficile manometterlo. In ogni caso l'oggetto era la sicurezza; la differenza stava nel fatto che la rivendicazione enunciasse come si ottiene la protezione o soltanto che la si ottiene.

I punteggi di fiducia e le valutazioni del rischio sono particolarmente esposti, perché una rivendicazione che raccoglie segnali, calcola un punteggio e lo comunica segue lo schema di raccolta, analisi e visualizzazione che la corte ha respinto ripetutamente. La descrizione del brevetto deve presentare i segnali come segnali tecnici — ciò che un dispositivo, una connessione o un sistema di archiviazione manifesta effettivamente — e collegare il punteggio a qualcosa che il sistema fa poi in modo diverso: rifiutare una sessione, mettere in quarantena un file, riconfigurare un dispositivo, isolare un nodo. La sicurezza è una proprietà della macchina, e un suo miglioramento può essere un miglioramento del computer stesso, ma soltanto quando la rivendicazione arriva fino alla macchina.

Le invenzioni nel campo della sicurezza sono di norma costruite con elementi singolarmente noti da tempo: hashing, firme, scambio di chiavi, sfida e risposta, un secondo fattore. A un esaminatore che trova ciascun elemento in un'anteriorità diversa serve poco più di una ragione per combinarli, e «migliorare la sicurezza» viene addotto come tale ragione con tanta regolarità da poter sembrare una giustificazione per aggiungere qualunque misura di protezione a qualunque sistema. Ciò che è nuovo è la configurazione — che cosa è vincolato a che cosa, quale parte detiene quale chiave, l'ordine in cui si svolgono le fasi — e l'attacco che quella configurazione preclude.

Questo argomento è più solido quando si trova nella descrizione del brevetto prima che se ne abbia bisogno. Una domanda che individua l'attacco a cui era esposta la configurazione precedente — una credenziale riutilizzata in un attacco di replay, un'identità di dispositivo clonata, una destinazione di replica a cui non si possono affidare dati in chiaro — e spiega perché la contromisura ovvia non lo impedisce fornisce alla risposta a un rigetto per ovvietà un elemento agli atti da citare. Una domanda che descrive soltanto la configurazione affida la ragione per cui essa funziona alle argomentazioni del mandatario, che non costituiscono prova, oppure a una dichiarazione predisposta a posteriori, sia dinanzi all'esaminatore sia, anni dopo, dinanzi al Patent Trial and Appeal Board.