El proyecto de navegador Gosub presenta un sistema de extensiones que busca conciliar seguridad y funcionalidad sin replicar las limitaciones que Manifest V3 introdujo en Chrome para los bloqueadores de anuncios. Su idea central es que una extensión puede ser muy potente sin que su propio código tenga apenas privilegios, siempre que el navegador ofrezca bloques básicos sólidos (filtrado nativo, ocultación cosmética, scriptlets auditados, acciones DOM declarativas, autorrelleno mediado).
A diferencia de Chrome, donde el manifiesto equivale casi a la concesión —los nombres de permisos se mapean directamente sobre APIs—, Gosub lo trata solo como entrada. Durante la instalación, lo traduce a una lista explícita de capacidades con ámbito, como filtering.block(all sites), content_script(youtube.com) o network.egress_public(api.example.com). El diálogo de instalación, la revocación y la capa de aplicación operan sobre esa lista, no sobre el manifiesto original.
El sistema incorpora tres garantías: un permiso de host por sí solo no concede nada, solo al combinarse con una API concreta; nada se traduce en comodines, así que una capacidad añadida mañana no acaba silenciosamente en la concesión de una extensión instalada hoy; y la extensión puede estrechar su concesión (vía una clave opcional gosub en el manifiesto) pero nunca ampliarla. Además, cada capacidad tiene un nivel de sonoridad —silencioso, estándar, alto o restringido—, de modo que cuanto más código privilegiado pide una extensión, más explícitas son las advertencias. Un diálogo de instalación silencioso es la recompensa por mantenerse en el camino seguro.
El motor de filtrado nativo, llamado baleen, ejecuta la sintaxis de listas ABP/uBO —reglas de bloqueo, excepciones, $important, ocultación cosmética, scriptlets auditados, reglas del usuario— dentro del propio navegador, sin código de extensión en la ruta de peticiones. En pruebas internas, 27 listas con 719.000 reglas se procesan en unos 7 µs por petición, y EasyList + EasyPrivacy en unos 1,6 µs, aproximadamente el doble de rápido que el motor de Brave sobre el mismo corpus. El artículo ilustra además el caso de Grammarly: aunque la herramienta es legítima, el modelo actual de permisos no distingue entre un corrector gramatical y un keylogger, ya que ambos necesitan leer lo que el usuario teclea. El diálogo de Gosub muestra qué permite la autoridad concedida, en lugar de intentar adivinar la intención de la extensión.