Il codice ospitato da remoto è una logica di programma che un'applicazione recupera da un server esterno in fase di esecuzione invece di distribuirla all'interno del pacchetto revisionato. Nelle estensioni del browser, questo può significare script, regole o funzioni caricati dopo l'installazione, il che rende il comportamento dell'estensione più difficile da prevedere solo sulla base della scheda dello store o del bundle sorgente.
È importante nella cybersecurity perché indebolisce il perimetro di fiducia tra il codice approvato e il codice che può cambiare in un secondo momento. Gli attaccanti possono sfruttare questo modello per distribuire funzionalità dannose dopo la revisione, nascondere capacità dietro il caricamento condizionale o sostituire un comportamento benigno con uno dannoso. I difensori spesso bloccano o limitano il codice ospitato da remoto, richiedono che tutto il codice eseguibile sia incluso localmente e ispezionano le richieste di rete e le autorizzazioni dell'estensione per ridurre il rischio della supply chain.