Existem exemplos diferentes para controladores assíncronos. Alguns deles usam CancellationToken na definição do método:

public async Task<ActionResult> ShowItem(int id, CancellationToken cancellationToken)
{
    await Database.GetItem(id, cancellationToken);
    ...

Mas outros exemplos e até mesmo os projetos ASP.NET padrão para o VS2013 não usam o CancellationToken e funcionam sem ele:

public async Task<ActionResult> ShowItem(int id)
{
    await Database.GetItem(id);
    ...

Não está claro se devemos usar o CancellationToken nos controladores ou não (e por quê).