Конечно, PDF-файл сам по себе не может причинить вреда, это может только программа, которая пытается его проанализировать / обработать.
Причина, по которой это может причинить вред, заключается в том, что файл PDF является своего рода программой.
Он содержит инструкции, необходимые для рендера PDF для отображения документа так, как это было задумано. К сожалению, со временем список разрешенных макросов для PDF значительно расширился, и, например, может содержать веб-ссылки и даже выполнять javascript.
Это очень похоже на то, почему файлы Word или Excel могут быть вредными - они могут содержать макросы VBA, которые могут обращаться к локальным файлам и открывать местный контент для посторонних злых сторон, а также совершать много других плохих действий.
Если бы вы могли использовать довольно глупый рендер PDF, который не поддерживает расширенные инструкции (конечно, не Adobe Acrobat Reader), то этот же PDF можно считать довольно безопасным.