Un gruppo di controllo randomizzato è il gruppo di base in un esperimento che non riceve il nuovo trattamento, la nuova funzionalità o il nuovo controllo di sicurezza. I partecipanti vengono assegnati casualmente in modo che i gruppi di controllo e di trattamento siano simili, il che aiuta a isolare l'effetto reale del cambiamento invece di confonderlo con il timing, il carico di lavoro o il comportamento degli utenti.
Nel campo della sicurezza informatica, i gruppi di controllo randomizzati vengono usati per testare la formazione contro il phishing, i controlli antifrode, le regole di rilevamento, le policy di accesso e gli strumenti interni di IA. Per esempio, a un gruppo di dipendenti può essere assegnata una nuova difesa mentre un altro rimane invariato; se migliora solo il gruppo trattato, è più probabile che il cambiamento ne sia la causa. I difensori usano questo metodo per dimostrare l'impatto prima di un rilascio su larga scala, mentre gli analisti lo usano per misurare se un attacco, una correzione o un prodotto abbia davvero cambiato i risultati invece di coincidere semplicemente con la normale variabilità.