En Windows, no es realmente factible. Es posible en Linux con control de acceso obligatorio (por ejemplo). Por lo tanto, puede tener un filtro web en funcionamiento, pero el sudoer no podría interferir con él (al menos no sin mucho esfuerzo, lo que podría hacer que el sistema sea inoperable). Al mismo tiempo, un sudoer puede modificar prácticamente todo lo demás.
¿Qué opciones tendría en OS X para hacer esto?
No puedo ver ninguna forma en que puedas lograr esto sin volver a escribir el SO y los modelos de seguridad.
Lo mejor que puedes hacer es tratar de confiar en Gatekeeper y prevenir sudo de tu usuario administrador por esta excelente pregunta:
No puedo ver un caso en el que no haría que el usuario no fuera un administrador y creara una forma en que pudiera hacer lo que el administrador quisiera que hiciera al otorgar acceso adicional y simplemente no otorgarle el estado de administrador a usuarios en los que no confías.
Lea otras preguntas en las etiquetas permission root sudo