Er is momenteel veel rumoer rond AI en cybersecurity. Wat werkelijk belangrijk is, is veel eenvoudiger, ook al gaat het vaak verloren in de drukte. Het ontdekken van kwetsbaarheden gaat steeds sneller en gebeurt op veel grotere schaal, terwijl verdedigers nog steeds moeten uitzoeken welke bevindingen daadwerkelijk hun actie verdienen.
In de eerste helft van 2026 zijn maar liefst 35.853 CVE’s gepubliceerd, grofweg 49% meer dan het jaar daarvoor. Toch werden er in diezelfde periode slechts 495 gecatalogiseerd als uitgebuit in het wild, en 116 werden al aangevallen op de dag dat ze openbaar werden. Ondertussen laten de eigen onthullingsgegevens van Anthropic zien dat modellen van de Mythos-klasse 26.153 kwetsbaarheidskandidaten in open-sourcesoftware aan het licht brengen, waarvan slechts 421 upstream worden gepatcht.
Die kleine uitgebuite subgroep is een heel belangrijk punt. Dat vertelt hij de verdedigers het behandelen van elke kwetsbaarheid met een Hoge of Kritieke CVSS-rating als een noodsituatie is niet alleen onmogelijk, het is zelfs het verkeerde model. De cruciale taak waarmee beveiligingsteams worden geconfronteerd is beslissen welke blootstellingen, op welke activa, onmiddellijke actie vereisenvooral omdat zowel het aantal bevindingen groeit als de kloof tussen openbaarmaking en exploitatie kleiner wordt.
De CVSS alleen kan u niet vertellen wat belangrijk is in uw omgeving
Dezelfde CVE kan honderden activa beïnvloeden, maar de De impact is zelden overal hetzelfde. Sommige instanties zijn onbereikbaar. Sommigen zitten achter controles die de technieken onderbreken die nodig zijn voor exploitatie. Anderen worden blootgesteld aan bedrijfskritische systemen waar preventie faalt en detectie nooit in werking treedt.
De CVSS geeft u een gemeenschappelijke basislijn voor de ernst. Het kan u niet de context geven die de impact op uw organisatie bepaalt.
Dit is de reden waarom verdedigers bewijs uit hun eigen omgeving nodig hebben om erachter te komen of de blootstelling daadwerkelijk kan worden geëxploiteerd, op welke activa deze van invloed is en of die activa bereikbaar en belangrijk zijn voor het bedrijf. Naarmate het aantal kwetsbaarheden toeneemt, wordt dit onderscheid steeds belangrijker.
Geautomatiseerde pentesting alleen kan niet elke blootstelling valideren
Zodra u verder gaat dan de ernstscores, biedt geautomatiseerde pentesting u het sterkste bewijsmateriaal dat u kunt verzamelen. Het kan echte exploits uitvoeren, bewijzen dat een blootstelling in uw omgeving kan worden misbruikt, kwetsbaarheden, inloggegevens en verkeerde configuraties in aanvalspaden koppelen en laten zien hoe ver een aanvaller daadwerkelijk binnen uw netwerk kan komen.
Toch blijft de dekking in de praktijk beperkt. Omdia-onderzoek ontdekte dat hoewel 95% van de organisaties pentesting als een top- of hoge prioriteit beschouwt, slechts 32% van hun gemiddelde aanvalsoppervlak elk jaar wordt getest. Agentische en geautomatiseerde benaderingen kunnen die dekking vergroten, maar ze verwijderen niet alles beperking van live uitbuiting.
Voor op CVE gebaseerde exploitatie moet er nog steeds een werkende exploit bestaan en moet het doelwit veilig zijn om te testen. Nieuw bekendgemaakte CVE’s bevatten wellicht nog geen werkende exploit, terwijl het eenvoudigweg niet mogelijk is om een live exploit te testen op bedrijfskritische, beperkte en air-gapped assets. Deze blootstellingen vereisen nog steeds een oordeel over de exploitatiebaarheid, zelfs als er niets is dat een geautomatiseerde pentest veilig kan uitvoeren.
Dit is het gat dat geautomatiseerde pentesting niet alleen kan dichten. Zijn een vereist onderdeel van de validatieMaar het kan niet elke blootstelling valideren.
Alles voor één. Eén voor alle belichtingen.
Dit is waar de stukken samenkomen.
- Validatie van exploiteerbaarheid bepaalt of een blootstelling daadwerkelijk kan worden geëxploiteerd in uw omgeving, inclusief CVE’s zonder werkende exploit en activa die met live exploitatie niet veilig kunnen worden bereikt.
- Validatie van de veiligheidscontrole test of uw preventie- en detectiecontroles de aanval daadwerkelijk blokkeren, detecteren of missen.
- Agentische pentesten voert veilig echte exploits uit en ketent blootstellingen om te laten zien hoe ver een aanvaller door uw specifieke omgeving kan komen.
Deze methoden beantwoorden verschillende vragen onder verschillende blootstellingsomstandigheden. Voor Mythos-gereedheid zijn alle drie de mogelijkheden nodig, samengebracht in één platform met hetzelfde doel: het valideren van blootstellingen in uw unieke omgeving. Dit betekent niet dat je ze altijd alle drie moet gebruiken bij elke blootstelling. Het doel is om pas elke methode toe waar deze het beste past en laat de bewijsmateriaal draagt bij aan hetzelfde besluitvormingsproces.
Deze drie sleutelonderdelen worden nog krachtiger als ze als één programma werken. A bevinding kan de validatiestap in gang zetten die het daadwerkelijk nodig heeft, nieuw bewijsmateriaal kan de herstelprioriteit veranderenEn reparaties kunnen opnieuw worden gevalideerd in plaats van te verdwijnen in een gesloten ticket. Hierdoor blijven de exploiteerbaarheid, de effectiviteit van de controle en het bewijs van het aanvalspad met elkaar verbonden, in plaats van dat ze zich in afzonderlijke workflows moeten wentelen.
Dit is ook waar de onderzoeksnota van Gartner® in mei naar verwijst: naar gevalideerde aanvalspaden, beslissingsgestuurde respons en vermindering van blootstelling, allemaal geïntegreerd in operationele workflows.
Dit is toevallig ook het werkmodel achter onze Validatietop ’26.
Wat beveiligingsexperts zien en hoe toonaangevende ondernemingen validatie in de praktijk brengen
Op 14 en 15 oktober zal Picus Security gastheer zijn van The Validation Summit ’26 om een onafhankelijke kijk op wat er is veranderd, onze benadering van validatie en lessen van beveiligingsleiders die dit al in de praktijk hebben gebracht samen te brengen.
Mikko Hyppönen zal openen met de vraag waarom deze verschuiving anders is dan die in het verleden. Picus CTO Volkan Ertürk Vervolgens zal worden uiteengezet hoe beveiligingsvalidatie eruit moet zien wanneer aanvallers hun aanvallen met AI aandrijven, en waarom validatie van exploiteerbaarheid, validatie van beveiligingscontroles en agentic pentesting beter samen werken dan afzonderlijk. Het Picus-team toont vervolgens de validatieworkflow leven met een nieuw onthulde kwetsbaarheid. Het begint zonder patch en zonder werkende exploit, doorloopt de validatie voordat er een PoC bestaat, test de exploit aan de hand van live controles zodra deze verschijnt, en valideert vervolgens opnieuw na de oplossing.
Dan veiligheidsleiders van Chanel, Atlassian en de NFL zal bespreken hoe dit eruit ziet in echte bedrijfsomgevingen: hoe volwassen beveiligingsteams hun validatieprogramma’s aanpassen, wat ze hebben veranderd en de successen en mislukkingen die ze gaandeweg hebben ervaren.
Twee uur. Eén validatieblauwdruk. Kom met ons mee naar de Picus Validation Summit ’26.
Opmerking: Dit artikel is geschreven door Sila Ozeren Hacioglu, Security Research Engineer bij Picus Security.
