Esto crea una dificultad que puede preocupar a algunos usuarios. El «pdflatex --shell-escape» pemite a pdf ejecutar CUALQUIER programa. Así, un estudiante disgustado te puede enviar por email un fichero tex, y, al compilarlo, puedes descubrir que ha borrado algunos archivos de tu derectorio.
Creo que el peligro es muy pequeño. Un fichero tex que haga daño ha tenido que ser creado deliberadamente, y que alguien envíe un «virus» por medio de código tex parece algo esotérico. No obstante, hay dos maneras con las que te puedes proteger. La primera y más fácil es quitar los «--shell-escape» que aparecen en los comandos pdftex y pdflatex (solapa «Motor» de las Preferencias), y convertir todos los archivos gráficos a mano.
TeXShop proporciona otra prtección diferente. En la solapa «Motor» de las Preferencias, hay un ítem llamado «Avisos shell-escape». Salvo que lo modifiques, está sin marcar. Si estamos usando «--shell-escape» y tenemos los avisos marcados, la primera vez que TeXShop compila una archivo tex en una sesión, aparece un diálogo que te permite desactivar la comunicación entre pdftex y otros programas durante toda la compilación del archivo. Así, puedes seguir compilado tus propios archivos permitiendo «--shell-escape», pero no permitirlo en los que hayas recibido por email.