Markdown puede contener HTML, enlaces e imágenes; una vista privada debe definir límites.
HTML se vuelve texto visible
Las etiquetas se escapan como código; scripts y eventos no se insertan.
La imagen no hace peticiones
El texto alternativo queda visible y la URL no llega a un elemento de imagen.
El saneado es el límite final
Angular sanea la cadena normalmente, sin APIs de bypass.