La confusione di stato è un guasto di sicurezza in cui i dati di una richiesta, sessione o conversazione vengono accettati come se appartenessero a un'altra. Invece di trattare lo stato del protocollo come vincolato a uno specifico utente o flusso di lavoro, il sistema mescola i contesti e si fida dell'oggetto sbagliato. Nella sicurezza web e API, ciò può accadere quando token, record di sessione o dati di controllo nascosti vengono riprodotti, scambiati o registrati senza controlli rigorosi di associazione.
È importante perché uno stato confuso può rompere l'isolamento e trasformare un bug ristretto in esposizione di dati, abuso di privilegi o fuga di credenziali. Nei sistemi di IA, gli artefatti di ragionamento o i blob di stato degli strumenti possono essere riutilizzabili tra le chiamate; se vengono accettati nella conversazione sbagliata, possono emergere tracce interne o segreti. Le difese includono un forte vincolo di sessione, controlli su nonce e firme, isolamento dei tenant, protezione dalla riproduzione e una gestione attenta dei log, in modo che lo stato sensibile non venga copiato nella telemetria o riutilizzato per errore.