Si eso fuera posible, no seria necesario tener acceso al javascript, lo podría hacer el atacante desde su maquina o cualquier otra.
Como reglas generales:
El front end web debe considerarse inseguro desde la perspectiva del servidor. Esto significa que el servidor debe validar todo lo que le llega y no asumir que el cliente web ya hizo la verificación.
Cuando usas ajax, sólo permitirá ejecutar llamadas si el script que tiene el ajax se descargó del serividor al que le estas haciendo la llamada siguiendo la politica de same origin.
En el caso en que el cliente esté en otro origin, en el servido deberás configuar cors para que solo el origen autorizado pueda hacer llamadas con ajax.
Si tu preocupación es que alguien pueda usar las herramientas de desarrollador desde la misma maquina del usuario:
1- Las herramientas de desarrollador no dan mas acceso al usuario del que ya tiene. A lo sumo puede romper algo en el front end y se joroba el usuario mismo.
2- Si el exploit usando estas herramientas tiene que ver con un usuario autenticado, bueno entonces se necesitaria el concentimiento del usuario autenticado que está usando la maquina. Como ya dije, las herramientas pos si solas no dan más acceso del que se tiene.