Em primeiro lugar, no MVC não existe Code Behind.
Em segundo lugar, a manipulação de abas, entre mortos e feridos, é uma abstração de um código JS aplicado a eventos dentro de um HTML de uma forma controlada.
Em terceiro lugar, não é inseguro manipular o JS no ASP.NET MVC porque ele foi projetado pra isso: pra que você possa colocar JS à vontade na sua aplicação sem necessariamente comprometer a segurança.
A maneira de se comunicar com o Controller
usando eventos AJAX é implementando Actions
e chamando essas Actions
com componentes que implementem isso, como o jQuery, por exemplo. A ideia da Microsoft fazendo isso é se aproximar do novo padrão utilizado pelos novos Frameworks como Ruby on Rails, Django e Node.js, que se baseiam apenas nas rotas para buscar e/ou processar uma informação.
Há uma série de bons componentes usando JS e CSS que implementam isso, até bem melhor que o AJAX Control Toolkit, como o Bootstrap e o Foundation.