Ну да, я тоже заметил, что хоть MV3 и обещали сделать безопаснее, расширения всё равно умудряются что-то подцепить, если дать им нужные права. Мне кажется, тут всё просто — не даёшь им доступ к кукам и трафику, и спокойно. Остальное как-то больше для красоты и чтобы развеять страхи пользователей.