Ha jól tudom, akkor a legfőbb különbség az, hogy a PPAPI-ban futó cucc sandboxban van, az NPAPI-s viszont nincs. Így a böngésződ adatai (pl. usernevek, passwordok, előzmények) akkor is biztonságban vannak, ha a futtatott plugin egyébként lyukas. (Nyilván ez az elmélet, nem tudom, mennyire nehéz a PPAPI-s sandboxból kitörni)