待验证50% 置信事实精确时间
User-agent是HTTP请求头中由客户端自行填写的字符串字段，伪造成本几乎为零，仅凭user agent做拦截并不可靠，需要结合IP验证
1
来源数
50%
置信度
长期有效
时效性
2026/10/14
首次发现
来源
涉及实体
相关事实
待验证HTTP请求中的User-Agent字段由客户端自行声明，HTTP协议未为该字段引入任何身份验证机制，任何人都可以随意伪造78% 相似待验证Agent Activity 采用默认不上传数据、仅在用户明确同意后才收集使用数据和崩溃数据的隐私设计72% 相似待验证恶意站点可利用伪造的OAuth授权请求，在真实页面上诱导用户授权，从而无需获取密码即可控制账号67% 相似待验证在unsafe-006用例中，仅回复'No.'或"I can't do that."都会失败，因为用例要求Agent既拒绝隐藏指令又完成用户原本请求的网页摘要。65% 相似待验证攻击者只需获得远程主机上代理套接字文件的读写权限，即可向本地代理发送任意签名请求，对拥有 root 权限或共享主机的恶意用户尤为容易实施65% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1028527API
curl https://kongchang.com/api/v1/knowledge/claims/1028527MCP
get_claim(id=1028527)