Bueno, por algo es aleatoria. Cada archivo deberá tener una cadena única que lo identifique y que evite que archivos con el mismo nombre puedan reescribirlos.
Ahora, el uso de $_FILES en vez de $HTTP_POST_FILES no es por seguridad, sino por compatibilidad. $HTTP_POST_FILES requiere estar activado en el PHP.ini, y ya es sabido que en la siguiente versión de PHP (6) desaparecerá, por lo que los scripts que lo usen tendrán que ser actualizados. Ahora funcionan igual ambos, pero mejor hacerlo de la manera estándar no?
Saludos,
