Как запустить код в изолированной среде?
Виртуалка, Jail, докер, фильт на файловую систему со сбросом после перезагрузки. 

Выбирайте любой метод
если есть разделение прав, то с правами  пользователя  нет никакого доступа к "низкоуровневым штуками" - юзер работает в своей  папке со своими правами. собственно так работает большинство хостингов.

Jail нужен в том случае, когда вы хотите пользователю как бы создать видимость виртуальной машины, дать ему там право делать все что угодно, но что бы он не вылез наружу