Bare metal si riferisce a software che gira direttamente sull'hardware senza un sistema operativo host generico interposto. In pratica, significa che il codice comunica direttamente con la CPU, la memoria, l'archiviazione e le periferiche, spesso tramite firmware o driver personalizzati. Questo è comune nei sistemi embedded, nelle schede per hobbisti, nei bootloader e in alcuni ambienti operativi specializzati.
Nel campo della cybersicurezza, gli ambienti bare metal sono importanti perché ridisegnano il confine di fiducia. Possono ridurre la superficie di attacco eliminando un ampio livello di sistema operativo, ma spostano anche più responsabilità sul firmware, sulle assunzioni relative all'hardware e sulla qualità del codice a basso livello. I difensori esaminano con attenzione i percorsi di aggiornamento, l'inizializzazione dei dispositivi e l'integrità della piattaforma, mentre gli attaccanti possono prendere di mira codice di avvio debole, comportamento hardware non documentato o porte difettose. Il bare metal non è automaticamente più sicuro o più rischioso; rende semplicemente la piattaforma sottostante più visibile e più critica.