Ага, лучше вообще их не использовать
Нет, ну почему же? Если это строка, произвольно вводимая пользователем, то да, использовать всегда опасно. Но строку можно получить иначе, без риска. К примеру, я делал калькулятор, где надо жать кнопки, вводя сложную формулу со скобками и всяческими операциями. Можно замутить сложную логику для обработки нажатий, анализа и исполнения полученного, а можно просто по нажатию кнопки дописывать строку, которую потом отдать в exec(), что я и предпочёл сделать. Риска ноль, код многократно проще.