Il controllo delle capacità è un processo di revisione della sicurezza usato quando un sistema di IA supera una soglia di capacità. Invece di rilasciare immediatamente il modello, i team rallentano la distribuzione, richiedono ulteriori valutazioni o limitano l'accesso finché non comprendono il nuovo rischio. L'obiettivo è allineare i permessi del modello al suo impatto nel mondo reale, soprattutto quando può pianificare, usare strumenti o svolgere attività in più passaggi con meno supervisione umana.
In cyber security, il controllo delle capacità è importante perché modelli più potenti possono aiutare sia la difesa sia l'abuso. Un agente di programmazione può migliorare il debugging, l'automazione e la risposta agli incidenti, ma può anche rendere più facili il phishing, lo sviluppo di malware o la ricognizione se esposto troppo ampiamente. I difensori usano il controllo tramite sandboxing, logging, verifiche di approvazione, limiti di frequenza e un accesso più restrittivo alle API o agli strumenti. Negli attacchi, la stessa idea appare come una soglia di rischio: una volta che un sistema diventa abbastanza capace da causare danni significativi, il rilascio e i controlli di accesso dovrebbero diventare più severi, non più permissivi.