Почему безопасно отправлять массив файловых объектов через Ajax, но не через обычный запрос Http?

Ajax не единственный способ отправить объект FormData. Объект FormData — это просто способ кодирования двоичных данных перед передачей. Интерфейс FormData позволяет легко создать набор пар ключ/значение, представляющих поля формы и их значения, которые затем можно легко отправить с помощью метода fetch() или XMLHttpRequest.send(). Он использует тот же формат, который использовала 

бы форма, если бы тип кодирования был установлен на «multipart/form-data». Чтобы сделать это без AJAX, надо просто добавить атрибут enctype="multipart/form-data" к элементу формы и отправить его как обычно.

AJAX-запросы — это и есть HTTP-запросы, просто сделанные из браузерного JavaScript.  Важно упаковывать на клиенте данные тем же образом, каким они будут распаковываться на сервере. Безопасность же тут вообще ни при чём: это уже про выбор между HTTP и HTTPS.