Die Schwachstelle betrifft den Bestätigungsmechanismus für Werkzeugaufrufe im Agent Development Kit (ADK). Agenten fragen vor der Ausführung bestimmter Werkzeuge eine Bestätigung ab. Das Framework prüfte eine solche Bestätigungsantwort jedoch nicht ausreichend: Es kontrollierte weder, ob das angeforderte Werkzeug überhaupt für den ausführenden Agenten registriert ist, noch ob dieses Werkzeug tatsächlich eine Bestätigung verlangt, noch ob die übergebenen Argumente zum ursprünglichen Werkzeugaufruf in der Sitzungshistorie passen. Ein Angreifer, der Ereignisse in der Sitzungshistorie verändern oder dort eigene Einträge einschleusen kann, ist dadurch in der Lage, eine Bestätigungsantwort zu fälschen und so eine Ausführung fortzusetzen, die nie freigegeben wurde. Auf diesem Weg lassen sich Werkzeuge aufrufen, für die keine Berechtigung besteht, mitsamt frei gewählten Parametern. Der Schutzmechanismus, der riskante Aktionen an eine ausdrückliche Zustimmung binden soll, wird damit wirkungslos.