wenn man code-ausführung verhindern will, kommt man damit eh nicht weit.
schreib @{[ system 'rm -rf' ]} in den string und du hast verloren.

will man in einem string in double quotes etwas *nicht* interpolieren, hat man das schon immer mit dem backslash gemacht.

wenn es sich um einen string aus einer externen, nicht vetrauenswürdigen quelle handeln würde, bei der ich nachträglich variablen ersetzen *muss*, dann würde ich das mit einem template-system machen oder mit einer regex
s/\$(var1|var2|...)/ $hash{ $1 } /g;