A gondot az okozza, hogy az alacsony szintű függvényeknek muszáj unsafe-nek lenniük, így tehát az azokat hívó magas szintű függvényeknek is (ez a safe hívna unsafe-t irány).
Ez nem így van, csak maga a hívásnak kell unsafe-ben lennie, az egész hívó függvénynek nem, az lehet safe.
Az általad belinkelt, de még mindig el sem olvasott doksiban ez is benne van, lásd 19-6 lista. ;-)