Dois pontos que eu olharia no modelo de segurança.

O primeiro é o loopback. Escutar só em 127.0.0.1 não impede que uma página qualquer aberta no mesmo navegador tente falar com localhost. O Chrome vem fechando isso aos poucos, mas eu não contaria com isso. Vale conferir se o plugin valida o header Origin e exige o token do pareamento em toda chamada, inclusive no WebSocket, que não passa por CORS.

O segundo é injeção de prompt pela própria página. O agente lê o texto do site, e esse texto pode trazer instrução escondida. Eu deixaria executar JavaScript e upload de arquivo pedindo confirmação sempre, mesmo quando o domínio estiver como "sempre permitir".