De opkomst van AI heeft het probleem van blootgestelde kwetsbaarheden veranderd, waardoor ook de manier van validatie moet worden aangepast. In de eerste helft van 2026 werden maar liefst 35.853 CVE's gepubliceerd, ongeveer 49% meer dan het jaar ervoor. Toch werden er in die periode slechts 495 als daadwerkelijk misbruikt in het wild geregistreerd, waarvan 116 al op de dag van publicatie werden aangevallen. Tegelijkertijd toont de eigen data van Anthropic dat Mythos-modellen 26.153 potentiële kwetsbaarheden in open source software vonden, waarvan slechts 421 upstream werden gepatcht volgens hun disclosure data. Dit benadrukt dat het behandelen van elke kwetsbaarheid met een hoge of kritieke CVSS-score als een noodsituatie niet haalbaar is en ook niet de juiste aanpak.

De uitdaging voor beveiligingsteams is om te bepalen welke kwetsbaarheden op welke assets onmiddellijke actie vereisen, vooral nu het aantal ontdekkingen toeneemt en de tijd tussen publicatie en exploitatie kleiner wordt. De CVSS-score biedt een gemeenschappelijke basis voor ernst, maar kan niet de context leveren die nodig is om de impact binnen een specifieke organisatie te beoordelen. Zo kunnen kwetsbaarheden op sommige assets onbereikbaar zijn of achter beveiligingsmaatregelen zitten die exploitatie verhinderen, terwijl andere kwetsbaarheden juist op bedrijfskritische systemen zitten waar preventie faalt en detectie uitblijft. Daarom is het essentieel dat verdedigers bewijs uit hun eigen omgeving verzamelen om te bepalen of een kwetsbaarheid daadwerkelijk exploiteerbaar is en welke assets daarbij betrokken zijn.

Automatische penetratietests kunnen sterke bewijzen leveren door echte exploits uit te voeren, kwetsbaarheden en misconfiguraties aan elkaar te koppelen tot aanvalspaden en te laten zien hoe ver een aanvaller kan komen binnen het netwerk. Toch blijft de dekking beperkt. Uit onderzoek van Omdia blijkt dat hoewel 95% van organisaties penetratietests hoog op de agenda heeft staan, gemiddeld slechts 32% van het aanvalsvlak jaarlijks wordt getest. Agent-gestuurde en geautomatiseerde methoden kunnen de dekking vergroten, maar live exploits vereisen dat er een werkende exploit bestaat en dat het veilig is om die te testen. Nieuwe CVE's hebben vaak nog geen werkende exploit en het testen op bedrijfskritische, afgeschermde of air-gapped systemen is vaak niet mogelijk. Toch is een oordeel over exploitatiegraad noodzakelijk, ook als automatische penetratietests geen veilige test kunnen uitvoeren.

De oplossing ligt in een gecombineerde aanpak. Exploitatievalidatie bepaalt of een kwetsbaarheid in de eigen omgeving exploiteerbaar is, ook zonder werkende exploit of op moeilijk bereikbare assets zoals beschreven bij exploitability validation. Validatie van beveiligingsmaatregelen test of preventie- en detectiemechanismen aanvallen daadwerkelijk blokkeren of missen volgens security control validation. Agent-gestuurde penetratietests voeren veilige, echte exploits uit en koppelen kwetsbaarheden om te laten zien hoe ver een aanvaller kan komen in de specifieke omgeving zoals bij agentic pentesting. Deze methoden beantwoorden verschillende vragen onder uiteenlopende omstandigheden en zijn samen noodzakelijk voor een effectieve validatie van kwetsbaarheden in het tijdperk van AI.