L'identità mista è un modello di autorizzazione che valuta sia l'utente umano sia l'agente software nel decidere se concedere l'accesso. Invece di consentire a un agente di IA di ereditare direttamente i permessi di una persona, il sistema considera il richiedente, l'agente che agisce, la risorsa e il contesto della policy nel momento dell'accesso.
Questo è importante perché gli agenti di IA possono diventare attori non umani con un reale accesso a email, applicazioni cloud e strumenti interni. In termini di sicurezza, l'identità mista aiuta a applicare il privilegio minimo, preservare l'attribuzione e ridurre il raggio di impatto se un prompt injection, un token rubato o un'integrazione configurata in modo errato tenta di abusare di un agente. Le difese basate su questo modello spesso usano identità di workload, credenziali a breve durata, permessi con ambito limitato e registri di audit, così i team possono vedere quale umano ha richiesto un'azione e quale agente l'ha eseguita.