Это очень простой вариант.

А теперь представим другой, на мой взгляд вполне реальный сценарий: ты щелкаешь по кнопке, на которую навешан скрипт, который в соответствии с JSONP, создает тег <script> и таким образом инициирует скачку и выполнение из какого-то третьего источника js-скрипта, который уже при своем выполнении скачивает исполняемый файл. Так довольно часто делают дабы обойти политику одного источника, а заодно не дать разным парсерам пакетно скачивать полезный контент вовсе им не предназначенный.

В этом случае браузер, в теории может обнаружить что внешняя ссылка вновь созданного тега <script> не безопасна и заблокировать ее, но вот уже заблокировать инициированную скриптом небезопасную скачку исполняемого файла ему будет куда сложнее. И уж точно это будет стоить ему немалых ресурсов (трекинг всегда расточителен)

Так стоит ли поручать браузеру то, что он либо вовсе не выполняет либо выполняет неважно?