L'approvazione umana è una fase di controllo che obbliga una persona a esaminare e confermare un'azione sensibile prima che venga eseguita. L'azione può essere un pagamento, un reset della password, una modifica dei privilegi, un'esportazione di dati o qualsiasi altro flusso di lavoro ad alto impatto. Nei sistemi sicuri, questo crea una pausa deliberata tra la richiesta e l'esecuzione.
È importante perché i sistemi automatizzati, inclusi gli agenti AI e gli strumenti di amministrazione, possono essere ingannati, configurati in modo errato o dotati di permessi eccessivi. Richiedere l'approvazione umana aiuta a bloccare l'injection di prompt, le frodi, le eliminazioni accidentali e gli accessi non autorizzati aggiungendo un secondo punto decisionale. In pratica, i difensori abbinano l'approvazione al privilegio minimo, alla registrazione degli eventi e ai permessi delimitati, in modo che il revisore possa vedere cosa accadrà e perché. Gli aggressori spesso cercano di aggirare questa fase nascondendo i dettagli, attivando azioni di massa o abusando di flussi di lavoro che richiedono l'approvazione troppo tardi. Una progettazione solida dell'approvazione rende il controllo visibile, verificabile e auditabile.