Justo, a distinção faz sentido: o que listei limita o estrago dentro da mesma máquina, mas não cria uma barreira separada.

O exemplo da API de metadados é ótimo, porque é justamente o caminho que um usuário sem privilégio ainda tem. Pra quem está em GCP ou AWS, duas coisas baratas nesse ponto: bloquear 169.254.169.254 no firewall de saída só para o usuário do PHP-FPM (com iptables dá pra filtrar por --uid-owner) e deixar a service account da VM com o mínimo de escopos possível. Na AWS, exigir IMDSv2 também ajuda contra SSRF simples.

Mas concordo: isolamento de verdade é container ou MicroVM com rede e sistema de arquivos separados.