Kazuho@Cybozu Labs

　ウェブブラウザのクロスサイトのセキュリティは、おおまかに言うと、サイトごとの独立性をたもつために、ブラウザ上のスクリプト言語による、クロスサイトのデータアクセスを許可しないようになっています。ただ、異なるサイトの画像をインライン表示したり、ユーザーが介在するクロスサイトの操作 (例: FORM の送信) は可能であることからわかるように、実際は、アクセス手法によって異なるアクセス制限手法が使用されています。

　以上の理解に基づくと、受信したコンテンツが CSS あるいは JavaScript であるかという判定について、ウェブブラウザは厳格であるべきということが言えます。CSSXSS は、この判定ロジックが甘いが故に HTML が CSS として解釈され、情報が漏洩するというウェブブラウザの脆弱性です。

　一方、Google の GMAIL コンタクトリスト漏洩は、ウェブアプリケーション開発者側の問題です。CSS や JavaScript のコードはクロスサイトで参照可能なので、その中に秘密情報を含めてはいけないのです。JSON については、JavaScript として副作用をもたない (もたせようがない) ゆえに文法違反であるがゆえに、秘密情報を含むデータフォーマットとして使用することができるのです^注。
2007/1/6 追記: JSON の安全性については、Kazuho@Cybozu Labs: 安全な JSON, 危険な JSON (Cross-site Including?) をごらんください。

15:39 追記:　で、結局、質問への答えですが、表からも明らかなように、「XMLHttpRequest ではサーバの任意のデータをスクリプトで処理できるので、クロスサイトのアクセス制限が必要である。IMG タグについては、スクリプトから画像データにアクセスできないため、クロスサイトでの参照を許可することに問題ない。SCRIPT タグや CSS についてはアクセス制限がないため、秘密情報を含めてはならない」ということになります。

注: XML や XHTML についても、E4X をサポートしているウェブブラウザの場合は、同様の議論になります