nějaká aplikace se bez jakékoliv kontroly klidně nainstaluje na účet, kde by instalace z principu měly být zakázané

ale trt.
ve svém profilu má i omezený uživatel prakticky "administrátorská" práva, pod %userprofile% může zapsat kamkoliv. programy co s tím počítají se pak nacpou do %appdata%.