Hayır, client-side tarafında tutuluyor. En azından en son kontrolümde öyleydi, autofill otomatik kapalı geldiği için o ayar sync edilmez, edilmesi ekstra bir katmanı devre dışı bırakır.
SpookJS gibi ataklara karşı da zafiyet istismar edilebilir. Chrome'un site isolation özelliğinin her zaman...