Исходя из той информации, что я нашел, то я понял это следующим образом. Сервер генерирует уникальный токен каждый раз, когда отправляет пользователю HTML форму. Потом вместе с данными формы этот токен отправляется на сервер и последний валидирует его и исходя из этого отклоняет или принимает запрос.
CSRF атака работает по принципу - в браузере жертвы незаметно отправляем поддельную форму на сервер, где мы авторизованы и имеем необходимые злоумышленнику привелегии. Но без AntiForgeryToken запрос будет отклонен.
Теперь момент, который мне не понятен, что, если я сначала запрошу форму у сервера, получу нужный мне токен, подставлю его в свою форму с данными и отправлю на сервер. В итоге я на раз-два ломаю всю защиту от CSRF атак. С учетом того, что в браузере жертвы я имею нужные мне полномочия, я могу безпрепятственно отправить запрос на получение такой формы с токеном.
Может кто-то объяснить мне, что я не учел в своих рассуждениях?