Não há falha de segurança alguma permitir o acesso aos campos (não gosto do termo atributo para isto, ainda mais neste contexto). No máximo é uma quebra de encapsulamento, ou vazamento de abstração, mesmo assim depende do caso.
Se só tem o campo privado, tudo normal, nenhum problema, pode fazer à vontade. O problema começa ficar mais complicado quando tem ambos.
De fato nada impede que acesse um ou outro conforme a necessidade. Obviamente que o acesso direto ao campo só permite pegar o valor e alterar seu valor. Os métodos getter/setter podem dar a impressão que é um acesso comum, mas eles podem estar realizando outras ações no momento do acesso ou atribuição. Então eles só são equivalentes por coincidência, seus propósitos são diferentes.
O ideal é acessar pelos métodos (quando eles existem) para manter a coerência. Mas se tiver um bom motivo para acessar o campo e souber da implicação que o acesso direto não executará as ações normalmente estabelecidas nos métodos, tá tudo ok.
Aí a resposta é: depende. O mais importante é entender que a chamada de um ou outro potencialmente possui semântica bem diferente. Isto pode ser bem confuso.
Os métodos costumam ser mais lentos, mas quando são acessados privadamente há uma otimização e provavelmente a chamada do método será substituída pelo código dele (inline expansion), se a implementação for simples.
Como curiosidade, os métodos são criados por padrão pelos programadores, mesmo que a única ação deles seja o acesso e atribuição direta sem fazer mais nada, ou seja, faz o mesmo que se estivesse acessando o campo direto, porque se um dia precisar dos métodos eles já estavam sendo usados. Se começar tornando o campo público e um dia precisar adicionar um processamento no seu acesso de leitura ou escrita, aí o método terá que ser adicionado, mudando a API pública e exigindo que todos os códigos consumidores dela sejam alterados. Criando uma abstração aumenta o encapsulamento e melhora o desacoplamento escondendo os detalhes de implementação.
Então, se o código só terá acesso ao campo privativamente OU você tem certeza absoluta que nunca terá um método para acessar aquele campo, pode expor o campo. Se não puder garantir isso é mais seguro criar os métodos. A não ser que a API não seja tão pública e aceite ficar alterado códigos consumidores.
Qual é o melhor depende de cada cenário. O que não pode é pregar o desacoplamento e expor o detalhe de implementação, que é o campo. Ou terá um benefício ou o outro, tudo é tradeoff.
Respondi algo semelhante sobre C#.
Coloquei no GitHub para referência futura.