> Монстры "всё в одном, включая апи 50-летней давности но стильные и молодёжные", вроде SELinux'ов

ну вот это ты зря - это как раз не модное и не молодежное, это надежная схема распределения привиллегий, причем опирающаяся на уже существовавшие в ядре механизмы. Но у нее есть один недостаток, ага: юникс-софт с ней оказался напрочь несовместим. А другой не написали, все как-то было знаете, недосуг.
То есть в mandate реализации оно неживое чуть более чем совсем. А в режиме ан@льного огораживания (targeted) феерически бесполезна и никогда не угадаешь что еще сломается. apparmor это ровно то же самое, но только изначально "targeted" - от неосиляторов для неосиляторов.

Но оно хотя бы НОВЫХ дыр не образует, в отличии от модных "user ns". И отключаемо без катастрофических последствий, если уж совсем никак не настроить правильно.