Апщемпто на нормальных старших моделях (с 8 и 16гб рам) там есть полный фарш.

Во-первых в отличие от кэжуал девайсов на рынке - у хромбуков исключен сценарий не только руткитов но и любых firmware/UEFI implants (почитайте сабж, и пошевелите волосы на жопе, даже secureboot не везде поможет, особенно с shim).

А хромбуках это зарешано аппаратно (кстати как и в Мак) но + хромая чекает merkle hashtree всего ядра и основных компонент ниже уровня приложений на консистентность (это против любых даже случайных софт-закладок на уровне ядра).

Вместе с Kernel (на котором отдельно ChromeOS и полноценный Android *опционально) идёт
т.н. Termina = это KVM подпиленый секьюрно по схему всей оси.

На этом KVM живут легковесные LXC-контейнеры с гуями, которые интегрируются в оконный менеджер основной ОСь.

Т.е. я пускаю на нем debian, Ubuntu, и все от mc до gimp  и sublime3 через snap

В параллели у меня какой нить Instagram-директ (для примера написал что-то, что неюзабельно через веб)

В параллели основные ChromeOS аппки

Но и это ещё не всё. На кнопку power завязан Fido2 аппаратный ключ, которым можно пользоваться как любым Ubikey и т.п.

При учёте что хромбуки ещё никто толком так и не сломал, то по архитектуре это одни из самых удачных девайсов для банкинга, админинга и прочего для широких масс, кто не осилит кастомный hardening обычной железки (что кстати и не всегда возможно без модификации на железе - не просто так тема Google Titan морочилась ).

Ну и на всякий случай в самом Chrome каждая вкладка в своей cgroups, ибо нефиг.