Le credenziali permanenti sono segreti, token o diritti di account di lunga durata o pre-provisionati che un agente può usare senza chiedere ogni volta una nuova approvazione quando agisce. Possono includere chiavi API, token di refresh OAuth, account di servizio o credenziali di sessione salvate. In pratica, consentono all'automazione di muoversi rapidamente, ma creano anche un accesso persistente che può sopravvivere al compito per cui era necessario.
Nella sicurezza informatica, le credenziali permanenti sono importanti perché ampliano il raggio d'azione di una compromissione. Se un agente AI viene ingannato da prompt injection o da permessi configurati in modo errato, quelle credenziali possono essere usate per inviare email, chiamare API cloud o modificare dati SaaS alla velocità di una macchina. I difensori riducono il rischio assegnando a ogni agente la propria identità, limitando strettamente i permessi, ruotando i segreti e rendendo immediata la revoca dei token, così da poter interrompere l'accesso prima che il danno si diffonda.