А может ли разработчик расширения заложить в него функцию самостоятельного обновления с различного списка серверов, не только официальных гугловских или мозилловских, но и личных серверов автора?
Или если скачал с сервера мозиллы, то и обновляться будет только оттуда?
Автообновление происходит только с репозитория разработчиков браузера. Если расширение скачано откуда-то ещё, то оно обновляться не будет.
Так а команда разработчиков браузера наверняка проверяет код расширений чтобы выявить в нем "не задокументированные возможности", и в случае чего отказывает в размещении в своем репозитории. Или это фантастика и весь код досконально не проверишь?