Il confine tra guest e host è la separazione di sicurezza tra una macchina virtuale (il guest) e l'hypervisor o il sistema host che la esegue. Ci si aspetta che l'hypervisor limiti l'accesso del guest alle risorse dell'host e alle altre macchine virtuali, anche quando il guest è compromesso.
Questo confine è importante perché una vulnerabilità che consente a un'attività all'interno di un guest di influire sull'host può compromettere l'isolamento dell'intero server fisico. In attacchi reali, una vulnerabilità nell'hypervisor o nei suoi componenti di supporto potrebbe consentire a un utente guest con privilegi di bloccare o potenzialmente compromettere l'host. I difensori riducono il rischio applicando tempestivamente le patch dei fornitori, limitando l'accesso con privilegi all'interno delle VM e monitorando gli host per rilevare instabilità impreviste. La segnalazione di una vulnerabilità del confine indica un rischio da approfondire; da sola non dimostra che vi sia stata un'exploitation o una compromissione.