Il contesto di grounding è un'evidenza esterna o curata fornita a un sistema di IA affinché le sue risposte si basino su fatti anziché su ipotesi. In pratica, può includere documenti approvati, cronologie dei ticket, feed di threat intel, dati di log o record di database che il modello è autorizzato a consultare mentre genera l'output.
Nella sicurezza informatica, il contesto di grounding è importante perché risposte non supportate possono classificare in modo errato gli alert, inventare passaggi di remediation o nascondere indicatori importanti. Un assistente SOC con grounding può riassumere un alert usando il vero log dell'evento, un documento di policy e un elenco di IOC noti invece di affidarsi alla memoria. I difensori usano il grounding con sistemi di retrieval, controlli dello schema e revisione umana per ridurre le allucinazioni e rendere gli output verificabili. Gli attaccanti possono cercare di avvelenare il contesto con documenti falsi o prompt injection, quindi l'insieme delle fonti deve essere fidato, ristretto e validato regolarmente.