La validazione circolare è un ciclo di feedback in cui lo stesso sistema crea un artefatto e poi contribuisce a verificarlo, giustificarlo o spiegarlo. Nel lavoro di sicurezza, questo può accadere quando un agente AI scrive codice, genera i test per quel codice e poi produce la motivazione che afferma che il progetto è sicuro.
Questo è importante perché la revisione indipendente è una difesa fondamentale contro bug, configurazioni errate e comportamenti malevoli nascosti. Se il generatore agisce anche da validatore, gli errori possono essere rafforzati invece di essere portati alla luce, creando un falso senso di garanzia. Gli aggressori traggono vantaggio quando i team si fidano di spiegazioni fluide più che delle prove. I difensori riducono questo rischio separando la generazione dalla verifica, richiedendo l'approvazione umana, usando suite di test e revisori indipendenti e pretendendo fonti tracciabili per le decisioni di progettazione. L'obiettivo non è vietare l'automazione, ma impedire che un sistema diventi il proprio auditore.