Il boundary testing è la pratica di verificare se un sistema può andare oltre il proprio ambito consentito o eseguire azioni per cui non era autorizzato. Nella sicurezza informatica, viene usato per convalidare limiti come l'accesso basato sui ruoli, le autorizzazioni API, i vincoli dei flussi di lavoro, i confini dei dati e le condizioni di arresto. L'obiettivo è dimostrare che uno strumento, un servizio o un agente IA non possa sfuggire alle regole assegnate anche quando gli input sono insoliti, malformati o intenzionalmente manipolativi.
Questo è importante perché molti attacchi cercano di superare i confini di fiducia: un utente con privilegi bassi tenta un'azione privilegiata, un agente automatizzato viene spinto a chiamare lo strumento sbagliato oppure un flusso di lavoro continua dopo che avrebbe dovuto fermarsi. I test di boundary aiutano i difensori a individuare controlli di autorizzazione deboli, guardrail mancanti e integrazioni non sicure prima che lo faccia un attaccante. Un buon boundary testing produce prove che i controlli vengono applicati a runtime, non solo documentati sulla carta.