Un record ACTION è un oggetto di attività interno usato per convertire l'output del modello in un elemento di lavoro in coda per un altro componente. Invece di trattare la risposta di un modello come semplice testo, il software la analizza in un'istruzione strutturata che può essere instradata, priorizzata o eseguita da un livello di orchestrazione.
Nella sicurezza informatica, questo è importante perché gli attaccanti possono usare lo stesso schema per automatizzare i flussi di lavoro di controllo. Ad esempio, la telemetria dagli host infetti può essere inviata a un servizio di inferenza e gli output selezionati possono essere trasformati in record ACTION per attività successive come triage, classificazione o selezione dei comandi. I difensori dovrebbero monitorare i sistemi che serializzano i dati dell'host, chiamano servizi di modello esterni e inseriscono in coda attività leggibili dalla macchina, poiché ciò spesso segnala una pipeline decisionale automatizzata piuttosto che una semplice integrazione con un chatbot. Il rischio non è il modello in sé, ma il passaggio dall'output del modello all'azione operativa.