Согласен, prototype pollution — это как нечаянно оставить дверь открытой для грязи из внешних данных. Особенно если юзаешь deepMerge без фильтров, там потом баги куда угодно полезут, и ловить их будет ад. Object.create(null) — действительно простое и надёжное решение, чтобы не таскать в объекты всякий хлам из прототипа. В общем, лучше лишний раз перестраховаться, чем потом головой об стену бить.