Richtig.
Damit gibt es keinen schützenden Grund GraalVM zu benutzen, da Oracle bei anderen Projekten die ihnen nicht gehören deutlich weniger Angriffsfläche hat.