> Я имею в виду именно CLONE_NEWUSER, а не USER_NS.

Я его и имел в виду. Простите, unshare() и clone() сами по себе вообще понятия не имеют, рендерите вы там чего-то или нет потом. Не его это собачье дело.

> Отрисовкой чего-нибудь. Страницы с текстом, например.

Ух, круто, а откуда ядру заранее знать будете вы это делать когда-то потом или нет? Это как максимум можно на уровне процесса обыграть но это требует чтобы кодеры тех программ явно захотели такое - и к тому же оно имеет свои острые углы.

> Или шейдеров, без которых плавной прокрутки не будет.

Шейдеры это вообще программа для GPU выполняемая на стороне GPU. К плавной прокрутке не особо относится само по себе.

> Медиа-контента, опять же.

Опять же выводить его можно по разному и заранее неизвестно будете вы это делать или нет.

> Если у непривилегированного процесса нет возможности порезать свои права,

C namespaces все чуть сложнее чем это. Давать бесправному юзеру плодить вложенные виртуальные операционки, возможно даже с виртуальным рутом внутрях который СВОЮ виртуальную копию имеет право менеджить, а наружу - нет, все же довольно стремно.

Кернел с самого начала не делался под настолько мощные абстракции и в конечном итоге проблема в том что в каких-то краевых случаях может немного "девиртуализоваться" если кто-то где-то логику проверок прав прошляпил. Потенциально насыпав лишние права бесправному юзеру.

С другой стороны, если это дать только elevated юзерам, придется при запуске подкидывать права сначала. И это тоже может быть довольно чревато, т.к. бесправный юзер ухитрившийся вклиниться между подъемом прав и сбросом опять же получит некие дивиденды.

> то, в лучшем случае, ему придётся при каждом запуске поднимать свои права до рута,
> без которого возможностей для изоляции не будет. Т.е., в итоге, вместо
> бесправного бинаря бесправного пользователя у малвари уже есть суидный бинарь.

В теории я могу себе представить специфичные CAP_* менее мощные чем CAP_SYS_ADMIN, на вот именно подобные операции, может даже на отдельные namespaces, но это не реализовано.

Если не понятно что это на нижнем уровне: man 2 unshare и man 2 clone. Изначально так то идея довольно мощная и крутая. Но это настолько за пределами изначальных абстракций что вызывает странные проблемы.