Restringir o acesso é uma ideia abstrata; o mecanismo que o restringe não tem de o ser.

O Federal Circuit decidiu que controlar o acesso a recursos, verificar a identidade de uma pessoa e filtrar conteúdos pelas suas características são ideias abstratas, e que uma reivindicação que enuncia um desses objetivos executado por componentes informáticos genéricos não é elegível. O mesmo tribunal considerou elegíveis reivindicações relativas a uma técnica baseada no comportamento para identificar código malicioso e ao armazenamento de um registo de verificação numa determinada região da memória, por ser aí mais difícil de adulterar. Em todos os casos, a matéria era a segurança; a diferença estava em saber se a reivindicação enunciava como a proteção é obtida ou apenas que é obtida.

As pontuações de confiança e as avaliações de risco estão especialmente expostas, porque uma reivindicação que recolhe sinais, calcula uma pontuação e a comunica segue o padrão de recolher, analisar e apresentar que o tribunal tem rejeitado repetidamente. O relatório descritivo tem de apresentar os sinais como sinais técnicos — aquilo que um dispositivo, uma ligação ou um sistema de armazenamento efetivamente exibe — e ligar a pontuação a algo que o sistema passa então a fazer de forma diferente: recusar uma sessão, colocar um ficheiro em quarentena, voltar a aprovisionar um dispositivo, isolar um nó. A segurança é uma propriedade da máquina, e um melhoramento dessa segurança pode ser um melhoramento do próprio computador, mas só quando a reivindicação chega à máquina.

As invenções de segurança são normalmente construídas a partir de peças que, isoladamente, são antigas: hashing, assinaturas, troca de chaves, desafio-resposta, um segundo fator. Um examinador que encontra cada peça numa referência diferente precisa de pouco mais do que um motivo para as combinar, e «melhorar a segurança» é invocado como esse motivo com tanta regularidade que pode parecer justificar a adição de qualquer salvaguarda a qualquer sistema. O que é novo é a disposição — o que fica vinculado a quê, que parte detém que chave, a ordem em que os passos são executados — e o ataque que essa disposição impede.

Esse argumento tem mais força quando já consta do relatório descritivo antes de ser necessário. Um pedido que identifica o ataque a que a disposição anterior estava exposta — uma credencial reutilizada num ataque de repetição, uma identidade de dispositivo clonada, um destino de replicação a que não se pode confiar texto em claro — e explica por que razão a salvaguarda óbvia não o impede dá à resposta a uma rejeição por obviedade algo no processo que pode citar. Um pedido que descreve apenas a disposição deixa a razão pela qual ela funciona entregue à argumentação do mandatário, que não constitui prova, ou a uma declaração elaborada a posteriori, seja perante o examinador, seja anos mais tarde perante o Patent Trial and Appeal Board.