De traditionele tijdlijn waarop kwetsbaarheidsbeheer was gebaseerd, is vrijwel verdwenen. Waar verdedigers vroeger weken of maanden hadden tussen de bekendmaking van een kwetsbaarheid en het daadwerkelijke gebruik ervan in een aanval, is die periode nu drastisch ingekort. Dit komt door twee factoren: het enorme volume aan nieuwe kwetsbaarheden en de snelheid waarmee AI-exploits worden ontwikkeld. In de eerste helft van 2026 werden meer CVE’s geregistreerd dan in elk volledig jaar vóór 2024, met een gemiddelde van ongeveer één nieuwe kwetsbaarheid per 7,4 minuten, zoals beschreven in een analyse over de snelle toename van nieuwe kwetsbaarheden.

De zogenaamde Zero Day Clock, die de tijd tussen publicatie en exploit meet, toont voor 2026 een mediane tijd van minder dan een dag, waar dit enkele jaren geleden nog weken duurde. Verdedigingsteams kunnen deze snelheid niet bijbenen en raken daardoor steeds verder achter in het patchproces. Daarbij is slechts een klein deel van de kwetsbaarheden daadwerkelijk uitgebuit in de praktijk, wat een periode creëert waarin aanvallers vrij kunnen opereren terwijl verdedigers weinig bewijs hebben om prioriteiten te stellen. Traditionele penetratietests, die vaak slechts periodiek worden uitgevoerd, beperken dit probleem enigszins, maar hebben een plafond. Automatische penetratietools kunnen alleen exploits inzetten waar dit veilig is en waar een werkende exploit beschikbaar is, wat meestal slechts 10 tot 15 procent van het totale aanvalsoppervlak betreft. Systemen zonder publieke exploit, streng gereguleerde of geïsoleerde systemen en recent ontdekte kwetsbaarheden blijven daardoor ongetoetst.

Het bewijzen van exploiteerbaarheid vereist echter geen publieke exploit of een risicovolle aanval op kritieke systemen. Elke exploit bestaat uit een keten van afhankelijke stappen, zoals initiële uitvoering, ontwijking van beveiliging, privilege-escalatie, credentialdiefstal en laterale beweging. Door kwetsbaarheden te koppelen aan de stappen die nodig zijn voor exploitatie en deze te toetsen aan de aanwezige beveiligingsmaatregelen, kan worden vastgesteld of een exploit daadwerkelijk succesvol kan zijn. Als een van de noodzakelijke stappen niet mogelijk is binnen de omgeving, faalt de exploit, ook al blijft de kwetsbaarheid aanwezig. Dit principe, vergelijkbaar met het testen van raketonderdelen vóór lancering, maakt het mogelijk om de kwetsbaarheid te valideren zonder daadwerkelijke exploitatie.