Authority drift è il graduale spostamento del vero potere decisionale dalle persone ai sistemi automatizzati, senza un corrispondente cambiamento nella responsabilità. Nella sicurezza informatica, è importante perché uno strumento di IA può iniziare come consulente, poi diventare il selettore predefinito e infine attivare azioni come approvazioni, instradamento, modifiche agli account o chiamate API a valle. Il flusso di lavoro sembra ancora governato da esseri umani, ma in pratica è la macchina a prendere la decisione.
Questo spostamento crea un rischio per la sicurezza perché errori, prompt injection, dati errati o permessi troppo ampi possono portare ad azioni non autorizzate alla velocità della macchina. Le difese si concentrano sul separare raccomandare, decidere ed eseguire; applicare il privilegio minimo; registrare override ed eccezioni; e mantenere un percorso di ripiego manuale. Una buona governance tiene inoltre traccia di quali decisioni sostanziali il sistema può influenzare, di chi ne è responsabile e di quando l'autorità automatizzata deve scadere o essere riesaminata.