Un commento di codice è testo non eseguibile incorporato nel codice sorgente per i lettori umani. Compilatori e interpreti lo ignorano durante l'esecuzione, quindi non cambia il comportamento del programma. I commenti vengono usati per spiegare la logica, segnalare elementi TODO, documentare la configurazione o disabilitare temporaneamente del codice durante lo sviluppo.
Nella cybersicurezza, i commenti contano perché possono contenere contenuti sensibili o ingannevoli anche quando non fanno parte del payload. Gli aggressori possono nascondere indizi, credenziali o istruzioni fuorvianti nei commenti per confondere revisori, strumenti di analisi statica o sistemi di triage del malware assistiti dall'IA. Questo crea un rischio a livello di analisi: il codice può essere eseguito normalmente mentre il commento cerca di influenzare ciò che un difensore crede su di esso. I team di sicurezza dovrebbero considerare i commenti come input non attendibile, soprattutto quando i file vengono riassunti da modelli o analizzati automaticamente. Confrontare i commenti con i reali percorsi di esecuzione aiuta a distinguere le annotazioni innocue dal testo che è stato pensato per fuorviare.