Il livello di esecuzione è la parte di un sistema agentico che esegue effettivamente strumenti, flussi di lavoro e azioni nell'ambiente reale. È il punto in cui l'output del modello diventa un effetto collaterale: chiamate API, modifiche a file, interrogazioni di database, ticket, messaggi o operazioni cloud.
Questo livello è importante perché la maggior parte del rischio per la sicurezza emerge quando le decisioni si trasformano in azioni. Se il livello di esecuzione è troppo permissivo, un agente può concatenare passaggi legittimi fino a ottenere un risultato non desiderato, anche senza alcun singolo comando chiaramente pericoloso. I difensori quindi lo trattano come un punto di controllo per allowlist di strumenti, credenziali con ambito limitato, registrazione, approvazioni, limiti di velocità e gestione sicura dei fallimenti. Negli attacchi, l'abuso spesso prende di mira il livello di esecuzione inducendo un agente a chiamare lo strumento sbagliato, a ripetere un'azione o a combinare azioni consentite in una sequenza dannosa. Nelle difese, una progettazione solida del livello di esecuzione limita ciò che l'agente può fare, registra ciò che ha tentato e rende ogni azione attribuibile.