由于第三方行为所引发的对他人的伤害，应由第三方承担侵权责任；对于诸如宾馆、商场、银行、车站等各类经营设施或公共场所的运营者、管理人员或组织机构，如果其未能充分履行安全保障责任，那么他们将承担相应的补充赔偿责任。
然而，这类运营者、管理人员或组织机构若已先行承担了补充责任，也仍然享有向第三方追偿的权利。
故此，当顾客在商场内遭受外力攻击而保安未予及时制止时，理论上是能够要求商城承担赔偿责任的。

《中华人民共和国民法典》第一千一百九十八条
【安全保障义务人责任】宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所的经营者、管理者或者群众性活动的组织者，未尽到安全保障义务，造成他人损害的，应当承担侵权责任。
因第三人的行为造成他人损害的，由第三人承担侵权责任;经营者、管理者或者组织者未尽到安全保障义务的，承担相应的补充责任。经营者、管理者或者组织者承担补充责任后，可以向第三人追偿。