Una credenziale valida è un token di accesso, una chiave API, una password, un certificato o un altro segreto che un sistema accetta come prova di identità. Una volta che la credenziale viene riconosciuta, il chiamante è autenticato e può essere trattato come un principale noto.
Nel cyber security, la validità non significa sicurezza. Gli attaccanti spesso rubano o riutilizzano credenziali valide tramite phishing, furto di token, hijacking di sessione o chiavi esposte, quindi le usano per accedere ai sistemi senza aggirare l'autenticazione. Questo è particolarmente rischioso negli ambienti di agenti IA, dove un token legittimo può consentire all'agente di raggiungere strumenti o funzioni di amministrazione oltre il suo compito. Le difese includono il principio del privilegio minimo, token a breve durata, revoca forte e controlli di policy a livello di azione che verificano ogni richiesta, non solo il login.