Lo scambio di token è un modello di delega in cui un token di sicurezza viene usato per ottenere un nuovo token con ambito, destinatario, durata o soggetto diversi. Invece di riutilizzare la credenziale originale, il sistema emette un token nuovo che è più limitato e più adatto all'azione successiva. Questo è comune negli ambienti basati su OAuth e nei sistemi di identità che separano l'accesso dell'utente dall'accesso da servizio a servizio.
Nella sicurezza informatica, lo scambio di token è importante perché riduce il riutilizzo delle credenziali e limita il raggio d'impatto. Un'applicazione o un agente AI può ricevere un token a breve durata per un'attività specifica, mentre la credenziale originale dell'utente rimane nascosta e resta valida solo per l'utente. I difensori usano questo approccio per applicare il principio del privilegio minimo, migliorare le tracce di audit e rendere più pulita la revoca. Gli aggressori possono tentare di abusare di scambi progettati male per trasformare un token di scarso valore in uno con accesso più ampio, oppure per muoversi lateralmente scambiando credenziali tra servizi. Una convalida rigorosa di soggetto, destinatario e scadenza aiuta a prevenire questo abuso.