Интересно, что счетчики по своей сути тоже являются в некотором роде активной XSS-атакой. Ведь на сторонний сервер передаются данные о посетителе, как, например, его IP-адрес, разрешение монитора и т.п. Только код в свою страничку вы интегрируете по собственной воле :) Взгляните, например, на код Google Analytic. Таким же безобидным XSS можно считать и кроссдоменные AJAX-запросы.