Как безопасно отобразить HTML и интерактивный код, сгенерированные моделью, в браузере?

Сгенерированные HTML и JavaScript считайте недоверенными. Статическую разметку очищают allowlist-санитайзером, а исполняемый код изолируют от основного приложения.

Для интерактивного результата используйте отдельный origin и минимальный sandbox iframe, ограничьте сеть и возможности через CSP и permissions. Не сочетайте опасные разрешения ради удобства. Обмен сообщениями требует проверки источника и схемы; секреты и доступ к сессии приложения изолированному коду не передают.