ブラウザ拡張機能も鍵の永続化するなら技術的にlocastorageかindexedbくらいしか選択肢はないのでクラスオリジンな保護をすり抜け、かつストアされているスキーマ情報が判明してれば抜くこと自体は可能ですね

これはブラウザセキュリティの現時点の限界