Видел эти примеры с webRequest и declarativeNetRequest – реально страшно, как расширения могут спокойно перехватывать токены и куки. Переход на MV3 вроде бы должен был помочь, но на деле эти возможности наблюдения остались. Стоит проверять права расширений и не давать им доступ ко всему подряд, иначе легко попасть на удочку.