По умолчанию вызовы только для безопасных имён (get/is/has/version/ping).
Log
Detected bridge candidates
File / URL access probes (no bridge)
Эти проверки пытаются загрузить URL стандартными веб-способами (fetch/img/iframe).
Это не эксплуатация — просто фиксация политики доступа WebView к file:// / content://.