¿Es segura la plantilla de política de VPCAccess Lambda de ejemplo?

Al seguir las plantillas de políticas proporcionadas por la documentación de AWS se obtiene un documento de políticas (menos otras declaraciones) como:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:DeleteNetworkInterface",
        "ec2:DescribeNetworkInterfaces"
      ],
      "Resource": "*"
    }
  ]
} 

¿Es esto realmente ideal? Idealmente, el principio de privilegio mínimo nos diría que el recurso debe estar restringido a los ARN específicos de las interfaces de red creadas por este rol asumido, pero, por supuesto, no sabremos qué es esa interfaz hasta se crea Digamos que la lambda de alguna manera es secuestrada y ejecuta código arbitrario. Teóricamente, esto significa que la lambda puede eliminar cualquier interfaz de red que la cuenta general pueda ver, ¿verdad? ¿Cómo puede uno, en el nivel de políticas de IAM, evitar el acceso arbitrario a las interfaces de red que el lambda no creó? ¿Esto ya es el caso por defecto? No está claro dado el documento de política de muestra. ¿Puede al menos limitarse a un VPC dado?