Как изменить поведение, которое заложено в beforeAction?
csrf предназначается для защиты сайта от межсайтовой подделки запроса, соответственно если валидация не прошла - значит с большой вероятностью произошла подделка запроса, зачем в таком случае выводить всплывающее сообщение? Это не логично и бессмысленно.
Но если Вы все же хотите сделать вывод всплывающего сообщения тогда не изобретайте велосипед. Сделайте отправку формы аяксом, и на уровне JS проверяйте в ответе наличие исключения и уже в зависимости от того есть оно или нет - выводите всплывающее сообщение
Читайте же, наконец, документацию! Всё давно придумано. Если вам не нужна CSRF-валидация достаточно выставить свойство контроллера $enableCsrfValidation в false. Но, конечно, нужно сто раз подумать, действительно ли вам она не нужна. Если вы просто делаете аякс-запросы, добавляйте к ним CSRF-токен, который можно добавить в форму через<input name="<?=Yii::$app->request->csrfParam?" type="hidden" value="<?=Yii::$app->request->csrfToken?>">
или прямо в яваскрипте добавить в параметры запросаvar params = {
    // some params
};
params[yii.getCsrfParam()] = yii.getCsrfToken();