Vy nedokážete porovnat Active.X a skripty na webových stránkách hlediska bezpečnosti? Active.X je strojový kód, který se spouští přímo v kontextu přihlášeného uživatele – je to jako kdybyste si stáhnul exe soubor a spustil ho. JavaScript je interpretovaný kód, který nemá žádnou možnost, jak komunikovat s vnějším světem, mimo rozhraní, která mu zpřístupní webový prohlížeč. V době používání Active.X komponent ten JavaScript ani neměl žádný přístup k lokálnímu souborovému systému. Kdyby byla v interpretu JavaScriptu nebo v nějaké jím zpřístupněné komponentě chyba (třeba buffer overflow), která umožní útočníkovi podstrčit někam svůj strojový kód a ten následně v kontextu webového prohlížeče spustit, dostal byste se teprve do stejné situace, jako s Active.X komponentou. Nebo-li to, co je u JavaScriptu ta nejzávažnější bezpečnostní chyba (která s JavaScriptem vůbec nemusí souviset, stejná chyba může být v HTML parseru nebo v zobrazovači obrázků), je u Active.X účel, proč to vůbec existuje. Teď už vám je snad jasné, co je nesrovnatelně děravější.
Vlastní chlíveček mít asi nebude, protože WebUSB API není o přístupu k fleškám, ale USB zařízením obecně. https://wicg.github.io/webusb/