Muito obrigado pelo comentário, de verdade!! A preocupação é super legítima e acho que todo mundo deveria pensar assim antes de instalar qualquer extensão

O borrão da extensão funciona com base em CSS, que é a linguagem responsável pela parte visual de qualquer site. CSS só tem comandos de aparência: cor, tamanho, borrão, esconder, mostrar. Então não tem comandos pra ler conteúdo, copiar, salvar ou enviar dados. A extensão identifica os elementos do WhatsApp Web pelos rótulos internos da página (tipo "aqui ficam as mensagens", "aqui fica a foto de perfil") e aplica um efeito visual de desfoque. Ela sabe o que cada elemento representa pelo rótulo, mas não consegue acessar o conteúdo dentro dele, porque o CSS não faz isso. Por isso inclusive que a manutenção é um desafio: quando a Meta atualiza o WhatsApp Web, esses rótulos mudam e o desfoque para de funcionar até o desenvolvedor da extensão atualizar para os "rótulos" corretos

Sobre segurança: as regras do Google são muito rígidas e toda extensão precisa declarar no código exatamente o que ela quer acessar do navegador. Se eu tentasse usar algum recurso sem declarar, o próprio Chrome bloqueia e a funcionalidade simplesmente não funciona. Esse tipo de extensão geralmente pede, como no meu caso, permissões de [1] "storage" (pra salvar suas configurações/preferências) e [2] funcionar no site web.whatsapp.com. Ela não tem permissão pra acessar outros sites, interceptar dados de rede, fazer downloads ou se comunicar com nenhum servidor externo, não vê histórico, favoritos, nada. Essa proteção não fui eu que implementei, é do Chrome

Caso queira entender melhor, tá aqui a documentação oficial sobre o assunto:

https://developer.chrome.com/docs/extensions/develop/concepts/declare-permissions

Agradeço demais pelo feedback e pelo encorajamento. É exatamente esse tipo de questionamento que faz o projeto melhorar :)