Если с помощью штатных API, то их ещё можно условно назвать санкционированными пользователем. Хотя тот же пример с доступом к буферу обмена наглядно демонстрирует, скажем мягко, наивность данного подхода: сначала мы разрешаем что-нибудь делать на компьютере пользователя, а потом только начинаем обдумывать последствия.

Но не меньше веселит и тот факт, что между нехорошим человеком где-то в Сети и пользовательскими данными находятся несколько десятков мегабайт далеко не слишком качественного кода (как самого браузера, так и подключаемых им компонентов, типа всякой мультимедии), и код этот, если его правильно попросить, может легко сделать open(".ssh/id_rsa", O_RDONLY, 0), ну или там что-нибудь интересное достать через /proc или sysctl(). Что периодически, собственно, и происходит.