Rozwój sztucznej inteligencji drastycznie przyspiesza wykrywanie podatności oraz tworzenie ścieżek ataków. Choć branża skupia się na szybkości działania AI, prawdziwym problemem nie jest nadmiar danych, lecz błąd w samym modelu zarządzania podatnościami. Tradycyjne systemy punktowe, takie jak CVSS, oceniają luki w izolacji, nie biorąc pod uwagę realnego ryzyka biznesowego.
AI umożliwia atakującym tanie i masowe łączenie kilku błędów o niskim lub średnim priorytecie w jedną, krytyczną ścieżkę ataku. To sprawia, że samo określenie powagi luki (severity) przestało wystarczać. Organizacje muszą zacząć brać pod uwagę kontekst: ekspozycję zasobu, obecność mechanizmów kompensacyjnych oraz krytyczność danych, które dany system obsługuje.
Zarządzanie podatnościami ewoluuje w stronę dyscypliny ładu korporacyjnego (governance). Decyzje o naprawie nie mogą należeć wyłącznie do działów IT, lecz muszą uwzględniać priorytety biznesowe i ryzyko operacyjne. Skuteczne programy będą kłaść mniejszy nacisk na to, czy luka jest krytyczna, a większy na to, czy jest łatwo osiągalna i czy może wyrządzić realną szkodę organizacji.
