Dieselbe CVE kann Hunderte von Assets betreffen, doch die Auswirkung ist selten überall gleich. Manche Instanzen sind gar nicht erreichbar, andere liegen hinter Schutzmaßnahmen, die die für eine Ausnutzung nötigen Techniken unterbrechen. Wieder andere sitzen exponiert auf geschäftskritischen Systemen, auf denen Prävention versagt und die Erkennung nie anschlägt.
Daraus folgt für Picus, dass Verteidiger Belege aus der eigenen Umgebung brauchen: Ist die Exposition dort tatsächlich ausnutzbar, welche Assets sind betroffen, und sind diese erreichbar und für das Geschäft relevant? Je größer das Schwachstellenvolumen, desto wichtiger werde diese Unterscheidung.
Automatisiertes Pentesting liefert nach Darstellung des Anbieters die stärksten Belege jenseits reiner Schweregrad-Bewertungen. Es führt echte Exploits aus, weist die Ausnutzbarkeit in der konkreten Umgebung nach, verkettet Schwachstellen, Zugangsdaten und Fehlkonfigurationen zu Angriffspfaden und zeigt, wie weit ein Angreifer im Netzwerk tatsächlich vordringen könnte.
In der Praxis bleibt die Abdeckung allerdings begrenzt. Eine Untersuchung von Omdia ergab, dass 95 Prozent der Organisationen Pentesting als oberste oder hohe Priorität einstufen, im Jahresdurchschnitt aber nur 32 Prozent ihrer Angriffsfläche getestet werden. Agentenbasierte und automatisierte Ansätze können diese Abdeckung ausweiten, heben aber nicht alle Einschränkungen realer Ausnutzung auf.
Denn für CVE-basierte Ausnutzung muss ein funktionierender Exploit überhaupt existieren, und das Ziel muss sicher testbar sein. Für frisch offengelegte CVEs gibt es oft noch keinen lauffähigen Exploit; auf geschäftskritischen, zugangsbeschränkten oder physisch getrennten Systemen lässt sich ein Live-Exploit schlicht nicht ausführen. Ein Urteil über die Ausnutzbarkeit brauchen diese Expositionen dennoch – auch wenn ein automatisierter Pentest dort nichts gefahrlos starten kann. Genau diese Lücke könne automatisiertes Pentesting nicht allein schließen: Es sei ein notwendiger Teil der Validierung, aber eben nicht für jede Exposition geeignet.
Die verschiedenen Methoden beantworten laut Picus unterschiedliche Fragen unter unterschiedlichen Bedingungen und sollten deshalb in einer Plattform zusammengeführt werden, mit dem gemeinsamen Ziel, Expositionen in der jeweils eigenen Umgebung zu validieren. Nicht jede Methode müsse auf jede Exposition angewendet werden; entscheidend sei, jede dort einzusetzen, wo sie am besten passt, und alle Belege in denselben Entscheidungsprozess einfließen zu lassen. Als Programm betrieben, könne ein Fund automatisch den passenden Validierungsschritt auslösen, neue Belege könnten die Priorität der Behebung verändern, und Korrekturen ließen sich erneut validieren, statt in einem geschlossenen Ticket zu verschwinden. In dieselbe Richtung weise auch eine Gartner-Forschungsnotiz vom Mai: hin zu validierten Angriffspfaden, entscheidungsgetriebener Reaktion und einer in operative Abläufe integrierten Reduktion von Expositionen.
Dieses Arbeitsmodell steht auch hinter dem Validation Summit ‘26, den Picus Security am 14. und 15. Oktober ausrichtet. Mikko Hyppönen eröffnet mit der Frage, warum sich dieser Umbruch von früheren unterscheidet. Picus-CTO Volkan Ertürk soll darlegen, wie Sicherheitsvalidierung aussehen muss, wenn Angreifer ihre Attacken mit KI betreiben, und warum Ausnutzbarkeitsvalidierung, Validierung von Sicherheitskontrollen und agentenbasiertes Pentesting im Verbund besser funktionieren. Anschließend demonstriert das Picus-Team den Ablauf live an einer neu offengelegten Schwachstelle – von der Situation ohne Patch und ohne funktionierenden Exploit über die Validierung vor Existenz eines Proof of Concept bis zum Test gegen laufende Kontrollen und der erneuten Validierung nach der Behebung. Sicherheitsverantwortliche von Chanel, Atlassian und der NFL berichten danach, wie sie ihre Validierungsprogramme angepasst haben – einschließlich Erfolgen und Fehlschlägen.