La IA ha transformado el problema de la exposición. La validación debe adaptarse a estos cambios.

El texto señala que la detección de vulnerabilidades se ha acelerado y ampliado considerablemente, lo que obliga a los defensores a determinar qué hallazgos requieren acciones reales en lugar de tratar cada caso con calificación alta o crítica como una emergencia. Durante la primera mitad del año mencionado, se publicaron miles de CVE, aunque una porción muy reducida fue catalogada como explotada en la naturaleza. Además, los datos de divulgación muestran que se encontraron miles de candidatos de vulnerabilidad en software de código abierto, de los cuales solo una pequeña parte fue parcheada.

El sistema de puntuación CVSS ofrece una gravedad estándar, pero no logra proporcionar el contexto específico de cada entorno ni determina el impacto real en una organización. Por su parte, las pruebas de penetración automatizadas brindan evidencia sólida al ejecutar exploits reales y mostrar rutas de ataque, pero su cobertura práctica sigue siendo limitada. Existen restricciones en activos críticos o aislados y situaciones donde todavía no existe un exploit funcional, lo que impide evaluar todas las exposiciones únicamente mediante este método.

Para superar estas limitaciones, se propone integrar tres capacidades clave: la validación de explotabilidad para determinar riesgos incluso sin un exploit funcional, la validación de controles de seguridad para comprobar si las defensas bloquean o fallan ante un ataque, y el uso de pruebas de penetración basadas en agentes. Al operar en conjunto dentro de una misma plataforma, estos métodos permiten conectar la evidencia y priorizar adecuadamente la remediación. El artículo también menciona la realización de un evento enfocado en estos temas, con la participación de líderes de seguridad y expertos de la industria.