Techniquement, ça na pas de raison d'être ni plus ni moins une passoire que JavaScript, ce qui est très loin d'être parfait, mais déjà nettement mieux que ActiveX qui exposait directement le système.
Après bien sur, ça sera jamais aussi safe que du bon vieux HTML 3.2 strict. Il s'agit toujours de trouver un compromis entre fonctionnalité et sécurité.