L'agenzia artificiale è un modo di descrivere il software in base a ciò che può fare: inferire dagli input, scegliere azioni, adattarsi al contesto e influenzare sistemi o persone. L'idea non richiede una coscienza simile a quella umana, ma solo una capacità osservabile e un certo grado di indipendenza. Nella sicurezza informatica, questo è importante perché difensori e regolatori devono sapere quando uno strumento è solo codice statico e quando può comportarsi come un attore in un flusso di lavoro.
I team di sicurezza usano questa lente per mappare il rischio. Un sistema con agenzia artificiale può leggere dati, generare decisioni, attivare automazioni a valle o cambiare comportamento dopo la distribuzione, quindi necessita di controlli di accesso più rigorosi, registrazione dei log, revisione e possibilità di override umano. Anche gli aggressori possono sfruttare sistemi simili ad agenti per scalare phishing, ricognizione o frodi, lasciando che adattino automaticamente messaggi e azioni. La domanda pratica non è se il sistema pensi, ma se il suo comportamento possa essere previsto, contenuto e verificato.