Un artefatto operativo è metadati residui, file, registri o dettagli di configurazione che rivelano come lavora un attaccante. Queste tracce possono includere indirizzi IP interni, campioni di test, commit di repository, modelli di denominazione, script di gestione degli host o note di staging. Spesso non sono il payload stesso, ma il materiale che lo circonda.
Nella sicurezza informatica, gli artefatti operativi contano perché possono esporre strumenti, flussi di lavoro e infrastrutture dell'attaccante. I difensori li usano per raggruppare l'attività, dedurre le abitudini di staging, identificare servizi riutilizzati e creare rilevamenti attorno a catene di comandi o all'abuso di repository. Nelle intrusioni reali, gli artefatti possono comparire in directory di test del malware, repository di codice esposti, commenti agli script o telemetria proveniente da servizi cloud abusati. Anche piccole fughe possono aiutare gli analisti a collegare campagne e a cercare sistemi correlati nei log, negli endpoint e nei dati di rete.