Ок, исходя из того что это виртуалбокс и ip он получает видимо из своей отдельной NAT подсетки. Варианта реализации 2:
Первый пробросить еще один интерфейс как бридж и разрешить ему форвардить пакеты из сети 10.0.2.0 в вашу подсеть, после чего прописать маршруты на обеих(двоих?) сторонах и пробовать снова.
Второй просто удалить стандартный NAT интерфейс в virtualbox и добавить вместо него bridge чтоб ловил адрес в вашей сети. После чего перенастроить nginx и апач на новый ip полученый из вашей сети.
Есть третий, но это еще больший костыль чем первый вариант: поднять впн и пушить вашу машину по нему.

Скорее нет, чем да. Вопрос лишь в том, насколько она изолирована? Куда монтируются разделы? Создается ли отдельный образ? Происходт ли выделение ресурсов на смартфоне или же просто "tap to start"? Какая система виртуализации используется?
Собственно, к чему я это? К тому, что продукт может быть как годным так и полным шлаком(как песочница, разумеется. Про остальной функционал не смею говорить), все зависит от ответов на восходящие вопросы.
Может ли эксплойт попав в систему вне гипервизора исполнить свой код? Ответ очевиден.
На гитхабе проекта информации по описаным мной вопросам, которые банально пришли в голову первыми информации нет. Соответственно - рисковать не стоит. Да и о чем говорить, некоторые сверхразумы(это не оскорбление :D ) умудряются выходить за пределы промышленных гипервизоров вроде VMWare и ProxMox не говоря уже про относительно свежие поделки.