Одно дело — развивать независимые проекты, предоставляющие другим приложениям стабильные интерфейсы. Другое — искуственно растаскивать единый функционал между "независимыми" бинарниками, общающимися по проприетарному протоколу, который меняется каждую версию. Последним, кстати, особенно грешат разработчики systemd.

Если искуственно разносимый код отвечает за безопасность, то это вообще дикая глупость.

> этот обработчик часть пакета

Вот о том и речь. Нет никакого смысла запускать его в отдельном процессе, если процесс apt ему полностью доверяет и даёт считать хэш-суммы пакетов.

Если бы обработчик действительно был изолированным (а apt сам занимался проверкой целостности), то можно было бы расcчитывать, что при компроментации процесса обработчика, — из-за неверного парсинга или уязвимости в SSL-библиотеке, — apt всё равно отказался бы ставить полученный от него пакет.