O VM é a única solução segura.
Você pode usar a configuração chroot-ed para isolar o aplicativo em questão do resto do seu sistema, mas lembre-se de que se esse aplicativo for inteligente o bastante para detectar que ele é executado em wine , que wine está sendo executado em OSX e, finalmente, conseguir quebrar a chroot cadeia estão em risco.
Embora a probabilidade de tal situação seja bastante baixa, ainda é possível.
Editar:
lembre-se também de desabilitar (pelo menos proteção por senha) todos os serviços de rede que seu OSX esteja executando e que possa aceitar conexões do localhost sem autenticação