Усовершенствования во вредоносных скриптах

нефиг лазит по гадким сайтам, никакой патч не спасет от всех сайтов, которые хотят навредить юзеру.
другое дело, если "левый код" подгружается в доверительном сайте, тогда то что используется callee, при грамотной реализации никак не помешает

_eval = eval;

eval = function(str){

   if (confirm("Выполнить?\n" + str)) _eval(str)

}

ОЧЕНЬ любопытно про новые методы :-)
чего только не придумают

eval(), alert() и callee() это функции, а не переменные.