Un livello di autorizzazione è il punto di controllo in fase di esecuzione che decide se un'azione richiesta debba essere consentita. Si colloca tra un'identità e i sistemi che essa vuole raggiungere, verificando i permessi prima che venga eseguita una chiamata API, una modifica a un file, una fase di un flusso di lavoro o un'altra operazione. In pratica, trasforma la policy in un gate attivo: la richiesta viene approvata, negata o limitata in base a regole come ruolo, ambito, livello di rischio o contesto.
Questo è importante perché gli attacchi informatici spesso riescono sfruttando accessi legittimi invece di violare direttamente il sistema. Se un agente, un utente o un servizio viene indotto a richiedere troppo, il livello di autorizzazione può bloccare l'azione prima che si verifichino danni. I difensori lo usano per applicare il principio del privilegio minimo, separare l'accesso in lettura e in scrittura e registrare comportamenti sospetti per la revisione. Nei sistemi di IA agentica, è particolarmente importante perché il prompt injection o strumenti con privilegi eccessivi possono spingere un agente verso azioni reali non sicure.