Il scenario-based testing è un metodo di valutazione che verifica come un sistema si comporta attraverso azioni realistiche e concatenate invece che con un singolo input. Nel campo della sicurezza informatica, viene spesso usato per testare agenti AI, script di automazione o controlli di sicurezza in un ambiente sandbox, simulando sequenze come ricognizione, uso degli strumenti, errore, nuovo tentativo e ripristino. L'obiettivo è vedere se il sistema rimane sicuro quando deve mantenere lo stato e adattarsi nel corso di più passaggi.
Questo è importante perché gli attacchi reali sono di solito campagne, non richieste isolate. Un aggressore può cambiare strumenti, ripetere i tentativi di probing o ricostruire un approccio dopo un blocco. Lo scenario-based testing aiuta i difensori a individuare debolezze che i controlli basati solo sui prompt non rilevano, tra cui accesso non sicuro agli strumenti, flussi di approvazione carenti, registrazione insufficiente e fallimenti nell'applicazione del principio del privilegio minimo. È particolarmente utile per i sistemi agentici che possono agire nel tempo, perché il rischio emerge dall'intera catena di comportamento, non da un'azione isolata.