待验证50% 置信事实精确时间
BSK复用用户真实登录身份，Agent操作等同于以用户身份在网站上行动，网站无法区分手动操作还是Agent自动化
1
来源数
50%
置信度
长期有效
时效性
2026/7/18
首次发现
来源
相关事实
待验证HTTP请求中的User-Agent字段由客户端自行声明，HTTP协议未为该字段引入任何身份验证机制，任何人都可以随意伪造63% 相似待验证攻击者可以通过窃取会话Cookie绕过双因素认证，直接冒充用户身份61% 相似待验证微软发布了定向消息（Targeted Messages）能力，使Agent能够主动私下向特定用户发送消息而不打扰整个群聊59% 相似待验证恶意站点可利用伪造的OAuth授权请求，在真实页面上诱导用户授权，从而无需获取密码即可控制账号58% 相似待验证Cookie同步机制中用户ID通过URL参数在HTTP重定向链中以明文形式传递，中间人攻击者可截获这些同步请求58% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/552273API
curl https://kongchang.com/api/v1/knowledge/claims/552273MCP
get_claim(id=552273)