Lo scoping dei token è la pratica di limitare un token di autenticazione alle sole azioni, ai dati e ai sistemi a cui è destinato l'accesso. Un token con scope può essere valido per una sola API, un solo ruolo utente, un solo repository o per un accesso in sola lettura, invece di concedere privilegi ampi e riutilizzabili. Si tratta di un controllo di identità fondamentale nella sicurezza moderna del cloud e delle applicazioni.
È importante perché i token rubati o trapelati sono spesso più facili da sfruttare rispetto alle password: se il token ha privilegi eccessivi, un aggressore può muoversi lateralmente, richiamare API sensibili o modificare l'infrastruttura. Nei sistemi di AI agentica, lo scoping è particolarmente importante perché i modelli possono usare token per navigare, interrogare database o eseguire strumenti. I difensori riducono il rischio emettendo token a breve durata, separando i permessi di lettura e scrittura, applicando allowlist e ruotando regolarmente le credenziali. Un buon scoping dei token trasforma una credenziale compromessa in un problema limitato invece che in una compromissione completa dell'ambiente.