> проще всего просто распилить относительно мощный хост виртуализатором на
> отдельные виртуалки и ограничить последствия от взлома некоего сервиса сугубо
> этим сервисом.

А если мой сервер и есть виртуалный на железном сервере хостера?! Меня, по большому счёту, не волнует, какими средствами мне хостер организовал виртуалку, а вот чтобы мой сервер жил и не падал - меня очень даже волнует. Виртуализация  в данном случае только ускоряет перезагрузку моего сервера в случае падения моего же ядра.

> дыры в гипервизорах - штука довольно редкая.

Гипервизор, например в Linux'е, разве не имеет те же проблемы, что и обычное ядро, если обнаруживается уязвимость, допустим, в iptables? Или SSH... его тоже на гипервизорной машине пользуют, а в SSH, пусть и редко, но дырки тоже находят.