Il code golf è la pratica di risolvere un compito di programmazione usando il minor numero possibile di byte o caratteri. L'obiettivo è la compattezza, non la leggibilità o la manutenibilità, quindi il codice realizzato in stile golf usa spesso sintassi densa, scorciatoie e peculiarità del linguaggio per ridurre le dimensioni. Nel lavoro di sicurezza, questo è importante perché una compressione estrema può rivelare come si comportano davvero un interprete, un parser o un sandbox quando presupposti e protezioni vengono eliminati.
Gli aggressori a volte usano payload scritti in stile code golf per rientrare in limiti di input rigidi, aggirare filtri semplici o nascondere l'intento in script molto piccoli. I difensori usano lo stesso approccio al contrario: creano programmi minimi di proof-of-concept per verificare se un validatore, uno scanner o un ambiente di esecuzione gestisce in modo sicuro i casi limite. Il code golf è utile per le dimostrazioni, ma può anche nascondere un'ambiguità pericolosa. Un programma minuscolo può sembrare innocuo pur attivando un comportamento inatteso in un runtime o in un flusso di controllo che non era mai stato irrobustito per gestirlo.