Pas d'accord avec ce qui a été dit.
Le modèle de sécurité du Web est standardisé pour que tous les navigateurs aient le même comportement face à un site (sauf qu'il y a des différences, mais passons). Il n'y pas de norme en matière de plugins.
Les extensions ou les plugins utilisent tous diverses API du navigateur. L'API des plugins est beaucoup plus intime et fine. Les navigateurs sont plus ou moins stables concernant le support des API : FF a cassé beaucoup d'extensions.
Les extensions ou les plugins peuvent tous avoir du code exécutable. Mais les extensions sont le plus souvent (je dirais 99,9 %) écrites en JS.
Les extensions ou les plugins peuvent être exécutés au niveau de privilège normal du navigateur ou bien être dans une sandbox. J'ai opté pour Chrome parce que les extensions ont des privilèges limités que l'utilisateur peut voir (exactement comme les applications Android). Les extensions sont isolées et ne peuvent pas interférer n'importe comment. Le privilège maximum étant bien sûr l'accès au compte de l'utilisateur comme le navigateur lui-même, ce que peu d'extensions nécessitent.
Remarque : Toute extension qui peut modifier le contenu le page (comme les fameux anti-pubs) peut bien sûr théoriquement espionner ce que vous faites en lignes (y compris sur des sites HTTPS évidemment).
On ne peut pas généraliser entre les navigateurs parce qu'ils n'ont pas la même architecture, le même modèle de sécurité, le même degré d'isolation.