Как работает брутфорс?

Когда пытаешься узнать как работает брутфорс, только и видишь общее объяснение принципа. Однако, если говорить в контексте веб, как может взломщик подставлять генерируемые пароли? Если обычный человек входит в свою учетную запись, то вводит в инпут требуемые данные, но если бы программа для взлома вводила данные в инпут автоматически, или меняла бы значение куки, который отвечает за аутентификацию, то это происходило бы довольно медленно (каждый раз обращаться к серверу ожидая ответа..) и нереально было бы быстро перебрать большое кол-во вариантов. Поэтому появляется вопрос: как это работает?