(AppArmor) 允许受限制的程序执行另一个不受限制的二进制文件是否会破坏安全性？

Question

我最近尝试了解 SELinux 和 AppArmor，然后因为它的简单性而决定使用 AppArmor。我开始使用 aa-genprof 和 aa-logprof 编写一些配置文件，但是像 firefox 这样的大型程序会执行大量其他二进制文件，我没有时间为每个二进制文件编写配置文件。唯一的解决方案似乎是让其他二进制文件不受限制地执行，但我担心这可能会破坏这一点

那么让一个受限制的程序执行另一个不受限制的程序可以吗？例如，攻击者是否可以访问新的无限制进程拥有的所有权限？

编辑：我刚刚发现，如果我只使用子配置文件，我不必编写整个内容，因为子配置文件只需要父级所需功能的权限。

编辑：我还读过一篇文章，其中说危险之一是如果不受限制运行的脚本没有设置 PATH 变量，攻击者可以在其受限环境中设置 PATH 并创建一个与该脚本同名的脚本所需的脚本之一。