Bash при работе использует переменные окружения, которые задаются командой env.
Помимо переменных окружения bash поддерживает список внутренних функций, также задаваемых командой env. Вот пример команды:

$ export foo='() { echo "Inside function"; }'
$ bash -c 'foo'
Inside function

Насколько я понимаю, эти функции должны выполняться только при непосредственном их вызове. Однако в старых версиях bash не проверяет определение функции на корректность и интерпретирует всю строку целиком, из-за чего возникает возможность дописать после определения функции другие исполняемые команды — как-то так:

$ export dummy='() { echo "hi"; }; echo "pwned"'
$ bash
pwned

Беда-печаль состоит в том, что «дополнительные» команды исполняются не при вызове внутренней функции, а при загрузке нового экземпляра интерпретатора, что и видно из примера. Почему это так, объясняется в посте, доступном по второй ссылке.
Резюмируя, ответ на ваш вопрос получается такой: магические скобочки — это определение функции; они допускаются в заголовке, так как являются стандартной конструкцией языка; просто написать вредоносный код без них нельзя, ибо в этом случае bash посчитает вводимый параметр не функцией, а обычной строковой переменной окружения.
P.S. А вот что для меня загадка — так это назначение двоеточия и точек с запятыми. Но особенно двоеточия.

Мне сначала показалось, что кот за курсором мыши следит, как тут (в самом низу страницы).