Могут ли недобросовестные владельцы приложений ВКонтакте использовать мой access_token?

Токен – это техническая возможность выполнять некоторые вызовы API ВКонтакте от имени пользователя, установившего приложение.

Как распорядиться такой технической возможностью – целиком на совести автора приложения.

Чего точно не нужно делать – это копировать по просьбе авторов приложения адресную строку из вашего браузера, когда ниже пишут «Не копируйте!..» В этом случае вы даёте действительно критические разрешения неизвестному приложению, 100% нарушающему правила ВК.