Un demone autonomo è un servizio in background che continua a funzionare senza un controllo umano costante e può prendere decisioni limitate in base a regole, stato o output del modello. Nella sicurezza informatica, questo progetto è spesso usato per automatizzare lavori ripetitivi come la scansione, il riconciliare i risultati o l'aggancio di strumenti in un flusso di lavoro più ampio.
Questo è importante perché la persistenza e l'autonomia aumentano sia le capacità sia i rischi. Un demone può continuare a operare attraverso più passaggi, ricordare il contesto e reagire ai risultati, il che lo rende utile sia per i difensori sia per gli strumenti offensivi. Negli attacchi, questo stesso comportamento può aiutare un operatore ad automatizzare il riconoscimento o catene di azioni in più passaggi. Nella difesa, i controlli chiave sono un ambito ristretto, autenticazione forte, registrazione dettagliata, gate di approvazione e un percorso di arresto sicuro, così che il servizio non possa allontanarsi dai confini autorizzati.