Elke patch is feitelijk een bekentenis. Zodra een leverancier een beveiligingsupdate uitbrengt, toont het verschil tussen de oude en nieuwe code precies welke kwetsbaarheid is opgelost en waar die zich bevindt. Dit verschil kan worden omgezet in een werkende exploit, waarmee systemen die nog niet zijn bijgewerkt direct kwetsbaar zijn. Dit fenomeen, bekend als N-day exploitatie, was altijd een race tussen leveranciers die patches uitbrachten en aanvallers die deze analyseerden om exploits te ontwikkelen.

Historisch gezien wonnen verdedigers deze race meestal, omdat het omzetten van een patch naar een betrouwbare exploit weken tot maanden kostte. Die tijd gaf organisaties de kans om updates te implementeren voordat aanvallers konden toeslaan. Die situatie is echter drastisch veranderd. Volgens onderzoek van Anthropic kan hun AI-model Claude Mythos Preview binnen een uur werkende exploits genereren op basis van publieke patchinformatie. Zo werden 18 Firefox-patches omgezet in 8 werkende code-executie exploits, waarvan de eerste binnen een uur na het uitbrengen van de patch werd gerealiseerd, terwijl de officiële Firefox-release pas 18 dagen later gepland stond (gemeten door Anthropic).

Voor Windows is het nog complexer, omdat er geen broncode beschikbaar is en alleen gestriptte binaries en decompilatie-output gebruikt kunnen worden. Toch slaagde Claude erin om voor 18 van de 21 kernelbugs proof-of-concept crashes te maken, waarvan de snelste binnen 31 minuten, en voor 8 bugs volledige escalatie naar SYSTEM uit te voeren. Dit gebeurde tegen een kostenplaatje van ongeveer 2.000 dollar per exploit. Opvallend was dat één van deze SYSTEM-exploits betrekking had op een bug die Microsoft als "Exploitation Unlikely" had geclassificeerd, een indicatie dat de traditionele inschatting van kwetsbaarheden niet meer klopt.

Hoewel het omzetten van een exploit in een volledige aanval nog steeds extra stappen vereist, is de cruciale fase die vroeger weken duurde – het creëren van een exploit uit een patch – nu teruggebracht tot uren. Dit betekent dat de klassieke strategie om aanvallen te voorkomen door snel te patchen niet langer effectief is. Uit gegevens van Verizon's 2026 DBIR blijkt dat de mediane tijd om een bekende kwetsbaarheid te patchen 43 dagen is, terwijl slechts 26 procent van de kwetsbaarheden ooit volledig wordt opgelost. De gemiddelde tijd tot exploitatie is volgens Zero Day Clock in 2026 gedaald tot minder dan 24 uur, tegenover ongeveer 53 dagen in 2024.

Patchen wordt bovendien bemoeilijkt door noodzakelijke regressietests, geplande onderhoudsvensters en uptime-verplichtingen. Met dagelijks ongeveer 135 nieuwe CVE-meldingen, een stijging van 40 procent ten opzichte van vorig jaar, is het voor teams onmogelijk om de achterstand in te lopen. Hierdoor vinden steeds meer datalekken en aanvallen plaats in de periode tussen het uitbrengen van een patch en het daadwerkelijk toepassen ervan. De focus verschuift daarom van de vraag welke kwetsbaarheden er zijn, naar welke kwetsbaarheden het meest urgent en exploiteerbaar zijn.