Qualys heeft Agent Val geïntroduceerd, een AI-agent die binnen het Enterprise TruRisk Management (ETM) platform de validatiekloof in kwetsbaarheidsbeheer sluit. Agent Val automatiseert het proces van valideren, mitigeren en opnieuw valideren van kwetsbaarheden, waardoor beveiligingsteams kunnen overstappen van theoretisch risicobeheer naar bewezen risicoreductie met machine snelheid.

Het grootste probleem in kwetsbaarheidsbeheer is niet het vinden van kwetsbaarheden, maar het bepalen welke daadwerkelijk exploiteerbaar zijn binnen de specifieke omgeving en bestaande compensatiecontroles. Hoewel organisaties goed zijn in detectie via scanners en threat intelligence, ontbreekt vaak het bewijs dat een kwetsbaarheid in de praktijk ook daadwerkelijk kan worden misbruikt. In 2025 werden meer dan 48.000 CVE’s gepubliceerd, waarvan slechts een klein deel daadwerkelijk wordt geëxploiteerd. Toch vergen ook de niet-exploiteerbare kwetsbaarheden veel capaciteit voor mitigatie.

Traditionele CTEM-tools bieden een theoretische risicoscore, maar kunnen niet aantonen welke risico’s reëel en aanvalsbaar zijn in de eigen omgeving. Severity scores domineren nog steeds de prioritering, terwijl deze weinig voorspellende waarde hebben voor daadwerkelijke exploitatie. Daarnaast werken scanners, SIEM’s en patchtools vaak geïsoleerd, waardoor teams sneller kunnen patchen, maar soms de verkeerde kwetsbaarheden aanpakken.

De snelheid waarmee kwetsbaarheden worden uitgebuit, neemt sterk toe. Waar in 2018 de gemiddelde tijd tussen publicatie en eerste exploitatie nog 63 dagen was, is dat in 2024 gemiddeld -1 dag, wat betekent dat exploitatie vaak plaatsvindt voordat een patch beschikbaar is. Deze kloof tussen menselijke reactietijd en machine snelheid van aanvallers vraagt om een geautomatiseerde aanpak die dezelfde snelheid en autonomie heeft als de aanvallers.

Agent Val maakt gebruik van agentic AI om menselijke beoordelingsprocessen te automatiseren en continu te bepalen welke kwetsbaarheden eerst veilig in productie getest moeten worden, wat de uitkomst bewijst en welke acties daarop volgen. Qualys ETM is hiermee het eerste geïntegreerde risico-operatiecentrum dat AI inzet om risico’s effectief te reduceren en de exploitatiekloof te dichten.