> Не уверен.

Не уверен — не обгоняй. Те, кого этот вопрос интересовал, давно уже все сравнили и сделали выбор. В подавляющем большинстве случаев — в пользу докера.

> CPU жрут только активные процессы.

1. Один из самых ресурсоёмких процессов VM — ядро. Контейнеры используют ядро хоста.
2. В VM запускается полная система, включая всякие syslog/journald, udevd, sshd, которые в контейнере нафиг не нужны.

> RAM уже давно все виртуалки умеют прижимать и высвобождать

За что приходится опять платить производительностью.

> При небольшом перерасходе ресурсов мы получаем значительно более серьёзную безопасность, за счёт большей изоляции.

О, да, конечно http://www.opennet.ru/opennews/art.shtml?num=51520

> В среде с нулевым доверием (т.е. любая среда в достаточно зрелой компании)

Если вы выучили такие умные термины, логично не останавливаться на достигнутом, а освоить понятие "оценка рисков", чтобы не делать подобных юношеско-максималистичных заявлений

> это стоит гораздо больше, чем небольшие бонусы по памяти.

IRL, зрелые компании считают свои деньги, и не будут закапывать их в землю ради чьей-то паранойи.