io_uring реально даёт прикольные возможности для обхода, особенно если базовый EDR ловит только классические syscall-хуки. Я пробовал через него асинхронные операции — EDR просто проскакивает. Но без рута сложно что-то круто сделать, а на руте уже полный простор. eBPF интересен с точки зрения обороны, но и злоумышленникам он даёт мощный инструмент – теперь за ядро биться надо серьёзно, чтобы не слепили.