В нулевых в Gentoo пакетный менеджер мог создавать минимальное окружение необходимое и достаточное для запуска сервиса:
  # emerge --configure пакет
Оно создавало chroot с настроеного сервиса и подправляло init скрипт для запуска в chroot.
При обновлении и изменении настроек надо было незабавать дергать:
  # emerge --configure пакет
Сегодняшние пионеры функцию configure{} с ебылдов выкинули. Лично поддерживаю ее для себя у некоторых пакетов.

В средине нулевых, к chroot прикрепили "изоляцию" ядро запрещало CAP для этого chroot, которые использовались для выхода с изолированого окружения и прочие шалости:
"Chroot hardening

grsecurity's chroot hardening automatically converts all uses of chroot into real jails with confinement levels equivalent to containers. Processes inside a chroot will not be able to create suid/sgid binaries, see or attack processes outside the chroot jail, mount filesystems, use sensitive capabilities, or modify UNIX domain sockets or shared memory created outside the chroot jail."

https://en.m.wikibooks.org/wiki/Grsecurity/Appendix/Grsecuri...
....

CONFIG_GRKERNSEC_CHROOT_FCHDIR=y
If you say Y here, a well-known method of breaking chroots by fchdir'ing to a file descriptor of the chrooting process that points to a directory outside the filesystem will be stopped.  If the sysctl option is enabled, a sysctl option with name "chroot_deny_fchdir" is created.