Un token bearer OAuth2 è un token di accesso che funziona come una chiave riutilizzabile: se lo possiedi, puoi chiamare l'API per cui è stato emesso fino alla sua scadenza o revoca. Di solito il server non verifica chi abbia ottenuto originariamente il token; il possesso è sufficiente. Questo rende i token bearer comodi per applicazioni web, agenti e servizi cloud, ma anche rischiosi perché qualsiasi fuga può tradursi in accesso immediato.
Nelle vere aggressioni, i token bearer vengono spesso rubati dall'archiviazione del browser, dai log, da richieste interne instradate male o da backend vulnerabili che possono essere indotti a inoltrare segreti. Una volta catturati, un aggressore può impersonare l'utente o il servizio originale senza bisogno della password. I difensori riducono il rischio con durate brevi, ambiti limitati, archiviazione sicura, revoca rigorosa e, dove possibile, alternative vincolate al mittente. Nelle piattaforme cloud di IA, i token bearer trapelati possono esporre API di gestione, servizi interni o credenziali temporanee.