Nach Darstellung des Quelltexts richtet sich die aktuelle Debatte um Mythos stark auf die Entdeckung von Schwachstellen. KI beschleunige die Aufklärung und nehme Angreifern Zeitgrenzen, die zuvor einen gewissen Schutz geboten hätten. Die Quelle hält das für relevant, sieht das Grundproblem aber an anderer Stelle: Viele Sicherheitsteams hätten den Kampf um sinnvolle Priorisierung schon vor Mythos nicht gewonnen.
Als Beispiel nennt der Text die Abwägung zwischen einem CVSS-9.8-Befund ohne Pfad zu einem kritischen Asset und einer CVSS-5.5-Schwachstelle, die nur einen Sprung von einer Kundendatenbank entfernt ist. Laut Quelle war diese Unterscheidung schon vor Mythos entscheidend; mit verkürzten Exploit-Zeitfenstern werde es lediglich teurer, hier falsch zu liegen.
Untermauert wird das mit Aussagen aus Gesprächen mit Sicherheitsverantwortlichen. Eine große Zahl der gefundenen Schwachstellen sei „nicht tatsächlich ausnutzbar“, lasse sich aber nur mit erheblichem Rechercheaufwand einordnen, für den Zeit und Personal fehlten. Andere priorisierten „derzeit nach CVSS-Wert … und nicht gut“ oder nutzten Tenable und externe Sicherheitsübungen als Grundlage für Schweregrade, was „alles sehr langsam“ sei.
Dabei handelt es sich laut Quelle nicht um Organisationen mit unreifen Sicherheitsprogrammen. Genannt werden Umgebungen, die Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta und Splunk parallel einsetzen. Trotz dieser Werkzeuge arbeiteten die Teams weiterhin mit einem nach CVSS sortierten Rückstand. Die Ursache liege nicht in Qualität oder Abdeckung der Scanner, sondern im fehlenden Kontext.
Konkret benennt der Text drei Dimensionen, die CVSS nicht abbildet: Identitätskontext, Netzwerk-Erreichbarkeit und geschäftliche Kritikalität. Ohne diese Eingaben seien 50.000 Findings keine priorisierte Liste, sondern lediglich ein Rückstand ohne Orientierung. Wenn sich die Zeit zwischen Offenlegung und Ausnutzung einer Schwachstelle von drei Wochen auf drei Tage, in manchen Fällen sogar auf Stunden verkürze, ändere das zwar die Betriebsbedingungen, aber nicht das Architekturproblem dahinter.
Als typischen Unternehmens-Stack beschreibt die Quelle eine Landschaft, in der Wiz Fehlkonfigurationen erkennt, Okta überprivilegierte Servicekonten sieht, CrowdStrike den Zustand von Endpunkten kennt und Qualys die CVE meldet. Was fehle, sei die Kette, die all diese Signale zu einem realistischen Angriffspfad in Richtung Kundendatenbank verbinde. Jedes einzelne Werkzeug könne einen Risikowert liefern, keines aber eine belastbare Entscheidung.
Ein befragter Sicherheitsarchitekt beschreibt das so: Man habe gute Signale aus allen Werkzeugen, doch die Korrelation von Identität, Cloud und Endpunkt zu einem einzigen Angriffspfad erfordere weiterhin manuelle Arbeit. Gerade dieses manuelle Wechseln zwischen Werkzeugen und das Zusammenführen von Informationen spiele Angreifern in die Hände, die mit Maschinengeschwindigkeit agierten.
Der Quelltext leitet daraus eine andere Leitfrage ab: Nicht der CVSS-Wert einer CVE sei ausschlaggebend, sondern ob eine CVE ein besonders schützenswertes Asset erreichen könne, über welche Identität, über welche Vertrauensgrenze hinweg und mit welchem Wirkungsradius. Ein überprivilegiertes Servicekonto neben einer ungepatchten CVE sei dann kein Befund mittlerer Schwere mehr, sondern ein kritischer Angriffspfad.
Als Gegenmodell präsentiert die Quelle Mesh. Das Produkt nehme vorhandene Werkzeuge für das Schwachstellenmanagement auf und ergänze den fehlenden Kontext, indem es Signale aus Identität, Cloud, SaaS, Endpunkt- und KI-Umgebungen korreliere. Das Ergebnis sei nicht eine nach Schwere sortierte Liste mit 50.000 Einträgen, sondern 12 priorisierte, belegte Exponierungen mit bestätigtem Pfad zu einem kritischen Ziel. Die zentrale These des Textes lautet damit: Mythos macht Schwachstellenmanagement nicht überflüssig, sondern entwertet vor allem ein Schwachstellenmanagement ohne Kontext.