Il controllo da parte di un agente IA significa che un sistema autonomo di IA ha diretto o selezionato delle azioni durante un processo, anziché essere semplicemente presente o utilizzato come strumento. Nella cybersicurezza, si tratta di un'affermazione specifica su come sia stata controllata l'attività; la sola rapidità delle azioni non basta a dimostrarlo. Anche un operatore umano o uno script convenzionale può reagire rapidamente.
Nel corso di un'indagine su un attacco, le prove possono includere registrazioni attendibili delle decisioni dell'agente, delle chiamate agli strumenti e delle azioni attivate da tali chiamate, correlate con i log relativi a identità, applicazioni, endpoint e rete. I difensori dovrebbero conservare queste registrazioni e distinguere i comportamenti confermati dalle ipotesi. Un rapido cambiamento degli strumenti dopo un tentativo fallito può giustificare un'indagine, ma senza dati di telemetria a supporto non dimostra che un agente IA fosse al controllo.