Значит, если они действительно добавляют вредоносный код, то:
1. Они должны отразить это в выложенных исходниках хромиума, чтобы выполнить условия лицензии.
2. Они могут патчить готовый бинарник перед публикацией, по сути, заражая его, как вирус.
3. Они могут добавлять отдельную библиотеку под проприетарной лицензией, если такое позволено.
4. Они просто держат все вредоносные версии исходников в тайне, а публикуют чистый код, который этого требует согласно копилефту, таким образом нарушая лицензию, но проверить это нельзя.

Мне просто любопытно стало, как оно устроено, может, я в чем и заблуждаюсь, но хочется знать эту кухню.