AAGUID は、アテステーション済み認証情報データ（attested credential data）の中で、フラグとカウンターの直後、認証情報 ID の長さの前に置かれます。ハードウェアキーは自身のモデルの AAGUID を報告し、パスワードマネージャーやプラットフォーム認証器も独自の AAGUID を公開しています（コミュニティが管理するリストで、iCloud キーチェーンや Google パスワードマネージャーなどの名前に対応付けられています）。アテステーションが none の場合、多くのプラットフォームはすべてゼロの値を返します。
アテステーションが検証されていなければ、AAGUID はクライアントが申告しているだけの値で、偽装できます。そのため、表示（「YubiKey 5 でログインしました」）や分析には使っても、アクセス可否の判断には使わないでください。ポリシーを適用するには、FIDO メタデータサービスに照らしてアテステーションを検証してください。AAGUID 検索で、値を認証器のモデルに対応付けられます。