現在はどのような対策がなされていますか？

現時点では、同外部JSはRUNした時に、document.domain (注：その後location.hostに変更された) を参照し、あらかじめMicrosoft社が認めたサイト以外では、aInboxView[]の内容にnullを設定しています。これにより悪意ある受動的攻撃サイトの構築を困難にしました。