>не отличает код и ресурсы от данных

1 код: разраб внутри аддона (в манифесте или хтмлках) прописал URL внешнего js скрипта. В привилегированный контекст грузится код из внешнего источника, что есть риск безопасности.
2 ресурсы: разраб внутри аддона (в манифесте или хтмлках) прописал URL внешнего css или картинки. В интерфейс браузера грузится внешний контент, что необоснованная угроза приватности (можно отслеживать запуски браузера по логам) и показ рекламы - конкуренция Гуглу.
3 то же самое, но с подгрузкой аяксом

Списки блокировки и юзерскрипты сюда не попадают: юзерскрипты пользователь ставит сам, а списки блокировки активным когтентом не являются и домой не звонят.