Esta es una pregunta que se plantea mejor en los foros de soporte NoScript. Sin embargo, puedo comentar algunas de las diferencias:
 CSP está del lado del servidor (tiene que configurarse en cada servidor, envía informes al servidor), mientras que ABE está del lado del cliente (configurado en el navegador, los registros dan como resultado una consola de errores).
 CSP sólo permite o bloquea el contenido, mientras que ABE puede tomar otras acciones como la autenticación de eliminación.
 El CSP fue diseñado principalmente para detener el scripting y otras inyecciones, mientras que el ABE fue diseñado principalmente para detener la falsificación de solicitudes cruzadas (pero también puede derrotar a XSS/inyecciones).
 CSP permite comodines, ABE permite comodines o expresiones regulares.
 CSP especifica sólo nombres de host, ABE puede especificar direcciones completas incluyendo protocolo y ruta.
 ABE conoce las direcciones intranet vs. Internet y puede controlar el tráfico entre ellas (de hecho, lo hace por defecto).
 CSP no trata de controlar las solicitudes que se originan desde extensiones de código privilegiado, por ejemplo, navegador. ABE puede, aunque siempre es posible para el código privilegiado para derrotar esto, por lo que no se puede confiar en proteger contra los addons maliciosos.
 ABE puede distinguir entre diferentes tipos de inclusiones de objetos y diferentes métodos HTTP.
 Pueden trabajar de forma independiente; si alguna de las dos bloquea algo, se bloqueará.
 No sé de ninguna métrica sobre la amplitud de implementación de CSP, ni tengo ni idea de cuántos usuarios de NoScript se toman el tiempo para configurar ABE (que no hace mucho fuera de la caja).