Default-deny è un modello di sicurezza in cui ogni azione, connessione o autorizzazione è bloccata a meno che non sia esplicitamente consentita. Invece di partire da un accesso ampio e rimuovere in seguito le parti rischiose, il sistema inizia chiuso e apre solo i percorsi minimi necessari. Questo lo rende particolarmente adatto ad ambienti ad alto rischio, perché il comportamento sconosciuto o inatteso non è considerato affidabile per impostazione predefinita.
Nel campo della sicurezza informatica, il default-deny riduce la superficie di attacco e limita i danni derivanti da configurazioni errate, malware e account compromessi. È presente in firewall, policy di identità e accesso, controlli cloud e runtime isolati in sandbox. Nei sistemi di IA agentica, un approccio default-deny può impedire a un agente di usare strumenti, accedere ai dati o attivare flussi di lavoro a meno che le regole di policy non approvino l'azione. Questo è importante perché un prompt injection o una credenziale rubata non dovrebbero concedere automaticamente un accesso ampio. Il default-deny funziona al meglio insieme al privilegio minimo, alla registrazione degli eventi e alle eccezioni verificabili.