Es ist insofern sicherer, dass eine evtl. verseuchte PDF-Datei nicht direkt schon beim Laden einer Seite mit einem Plugin aufgerufen wird. Wenn du eine Datei erst herunter lädst, wenn du sie auch brauchst und anschauen willst, kannst du die Datei auch erst prüfen, bevor Du sie ausführst.
Unsicher ist es aber in jedem Fall, sofern der jeweilige Viewer (meist der Acrobat Reader) nicht aktuell ist und über Sicherheitslücken verfügt.
Ich persönlich lasse was nicht gerade Flash ist (meine einzige Ausnahme) in externen Programmen anzeigen, so das ich die Anzeige erst quittieren muss und nichts automatisch ausgeführt wird.