Un cambio di stato è qualsiasi azione che aggiorna un sistema di registrazione. Nella sicurezza informatica, può significare cambiare la password di un account, modificare i dati bancari, approvare una richiesta, creare un nuovo record o inviare una richiesta di risarcimento. È diverso dal semplice leggere i dati: un cambio di stato altera ciò che il sistema ritiene vero, e questo può avere effetti aziendali o legali duraturi.
Questo è importante perché gli attaccanti spesso puntano all'integrità, non solo al furto. Se un avversario può attivare un cambio di stato non autorizzato, potrebbe reindirizzare i pagamenti, modificare i dati dell'identità o creare transazioni fraudolente senza dover avere accesso esteso a tutti i dati. I difensori trattano quindi le azioni che modificano lo stato come eventi ad alto rischio e le proteggono con il principio del privilegio minimo, approvazione rafforzata, registri di audit e procedure di rollback. Nei sistemi di AI agentica, il rischio aumenta ulteriormente perché gli strumenti possono eseguire modifiche automaticamente, quindi ogni azione necessita di autorizzazione chiara e tracciabilità.