não tem jeito: Qualquer sistema que facilite a vida do usuário permitindo automação através da gravação e posterior execução de ações é um perigo em potencial. Se eu escrever funções ou macros maliciosos para Emacs, Firefox, Excel, bash ou outros, e alguém inocentemente rodá-los, vai dar xabu.

O melhor que se pode fazer é manter um sistema de registros para funções instaladas no sistema e funções externas ainda não instaladas e não permitir a estas últimas serem executadas automaticamente -- acho que o padrão em aplicativos de código livre -- ou ainda impedí-las de executar operações de IO -- como javascript na plataforma Mozilla.

E ainda contar com a famosa separação de privilégios entre contas de usuários e administradores, de forma que mesmo que tal registro de funções instaladas não exista e o luser clique em qualquer coisa inadvertidamente, pelo menos apenas seu diretório pessoal vai sumir. :) Apesar de alguns justamente acreditarem ser este o mais importante, afinal...

;; ((lambda (x) x) "Isto é um comentário e não será executado nunca")

Proof of Concept: Este termo não é aplicado somente a escrita de virus de conceito, mas a todo/qualquer ação que prove algum conceito que foi evidenciado.