ここでの狙いは、悪質な拡張機能をインストールできるということではありません。開発者が大規模なユーザーベースの信頼を得た上で、悪質なコードで拡張機能をアップデートできるという悪意ある考えです。Safariは自動アップデートなので、不正行為が行われる可能性は想像に難くありません。誰も監視していないのですから。

Safariは拡張機能を自動アップデートできます。拡張機能には、開発者がオプションで提供するURLが含まれており、Safariは定期的にそのURLをチェックして、拡張機能の新しいバージョンが利用可能かどうかを確認します。新しいバージョンが利用可能であれば、Safariは新しいバージョンをサイレントモードでインストールします。

このように、ダブルクリックした単語の定義を表示できる、神話上の「A Decidedly Un-Evil Extension（明らかに邪悪ではない拡張機能）」は、高潔で安全なものに思えるかもしれません。しかし、人気が高まり始めて数ヶ月後、この拡張機能の悪意ある作成者は、この拡張機能を <iframe> の悪意ある機能でアップデートし、アクセスしたウェブページからあなたの個人情報を収集し始める可能性があります。Safari Extensionsのバージョン番号を定期的に確認していない限り、拡張機能が更新されたことに気付かず、変更があったことにすら気づかないかもしれません。

Lex Friedmen氏が用いた例は、ブラウザに<iframe>を作成する拡張機能と、それを利用してIPアドレスを盗み出す方法に関するものです。悪意があれば、それほど容赦のない爆弾を仕掛けられる可能性があります。全文は Lex, Brieflyで読む価値があります。