Accessoirement, pour les applications en lesquelles vous avez une confiance moyenne, vous pouvez aussi utiliser Firejail qui propose différentes isolations (disque, réseau...) et - il me semble - désormais aussi une isolation X.
https://firejail.wordpress.com/
C'est assez léger et ça tourne en espace utilisateur.
Par exemple je m'en sers quand je suis obligé de lancer Skype, sans que ce dernier puisse aller farfouiller mes marques-pages Firefox.
(Quoi vous l'ignoriez ? https://philpep.org/blog/Skype-%3A-un-logiciel-qui-vous-veut-du-bien
ou encore : https://web.archive.org/web/20101207052536/http://forum.skype.com/index.php?showtopic=95261 )