La delega passiva è la pratica di lasciare che un sistema di IA prenda giudizi o scelte senza una revisione umana attiva. Invece di usare l'IA come assistente, l'utente accetta il suo output come se fosse la decisione stessa. Nella cybersecurity, questo cambiamento conta perché la sicurezza può nascondere incertezza, errori o contesto mancante.
Si manifesta spesso in flussi di lavoro come il triage del phishing, la gestione degli alert, la revisione del codice o le decisioni di accesso, dove la raccomandazione di un modello viene accettata senza verificare le prove. Gli aggressori possono trarne vantaggio quando i difensori si fidano dell'IA troppo rapidamente, perché un output persuasivo ma errato può portare ad azioni non sicure. Tra le difese contro la delega passiva ci sono l'approvazione umana per i passaggi ad alto rischio, limiti chiari su ciò che l'IA può decidere, log di audit e soglie di confidenza che impongono una revisione quando il modello è incerto.