但 Chrome 应用程序以及 Chrome 网上应用店的开放性也为恶意软件、间谍软件、挖矿软件、社交网络帐户劫持者以及其他的恶意扩展打开了大门。
为了加强隐私和安全性，Google 在预计本月底推出的 Chrome 70 更新中搞了一波扩展新规：
首先，用户可以在某些特定网站上限制扩展程序，也可以设置每次运行扩展时必须征求用户许可。另外，会加入选项让使用者可以自定扩展功能可以取存哪个网站的资料，限制开发者获取过多的使用者浏览资料。 这种更改不会完全阻止恶意扩展，但可以限制其可以造成的损害。
其次，谷歌还禁止了开发者使用混淆代码进行扩展。因为被混淆的代码难于理解，不仅调试及纠错困难，而且会增大反向工程难度。最重要的是，Google 有 70% 的恶意程序和违反规则的扩展功能都包含这样的设计，谷歌爸爸大手一挥，要求现有扩展功能的开发者在年底之前把代码混淆的部分移除。不过为了简化代码架构加速审批，仍然允许收缩代码（即删除了无关空格和长变量名称的代码）。
另外，如果负责扩展程序的开发人员帐户被入侵，扩展程序可能会被篡改甚至进行恶意攻击。为此谷歌明年将要求开发者使用两步身份验证，给黑客破解账户增加难度。
最后，谷歌还计划推出一个新的扩展清单，使用户更好地控制他们的扩展授权。
