Если по таскам - все, где может быть RCE, LFI, fork/zip/etc бомбы - запихивать от греха подальше в докер с лимитами по памяти, числу pid'ов (с этим аккуратно, перед цтфкой надо проверить, что при обычном решении того же пывна через сокат, сокат сможет форкнуться при большом наплыве народа).