#til легковесная песочница для приложений bubblewrap https://wiki.archlinux.org/title/Bubblewrap Это как chroot, только можно смонтировать файловую систему в /tmp и дать read-only доступ к определённым кускам хоста