Un token API AI è una credenziale segreta usata per autenticare le richieste a un servizio di IA. Funziona come un segreto bearer: chiunque lo possieda può chiamare il servizio, in genere senza una password separata o un accesso interattivo.
In termini di sicurezza, questi token sono importanti perché possono essere rubati dal codice, dalle variabili di ambiente, dai log di build o da macchine di sviluppo compromesse. Una volta esposti, un aggressore può usare il token per chiamate non autorizzate al modello, consumare le quote o generare addebiti inattesi. Negli attacchi alla supply chain, pacchetti malevoli o script di installazione possono cercare di leggere i segreti durante la CI o le build locali, trasformando una normale installazione di dipendenze in furto di credenziali. I difensori riducono questo rischio limitando in modo stretto l'ambito dei token, memorizzandoli in secret manager e tenendo il codice non attendibile lontano dai contesti di build sensibili.