Adversarial Exposure Validation (AEV): cosa significa la categoria di Gartner

Gartner pubblica la definizione della categoria sulla pagina Peer Insights dedicata al mercato. Le frasi centrali, in traduzione nostra:

• L'AEV comprende le «tecnologie che forniscono evidenze coerenti, continue e automatizzate della fattibilità di un attacco».
• Queste tecnologie «confermano come le tecniche d'attacco potenziali riuscirebbero a sfruttare un'organizzazione e ad aggirare i controlli di prevenzione e rilevamento».
• Lo fanno «eseguendo scenari d'attacco e modellando o misurando l'esito per dimostrare l'esistenza e la sfruttabilità delle esposizioni».
• «L'AEV è in genere erogata come soluzione SaaS, con o senza agenti on-premise.»
• «Come categoria di mercato, l'AEV sostituisce la breach and attack simulation (BAS) e le tecnologie di penetration test e red teaming automatizzati dell'Hype Cycle 2023 di Gartner (Hype Cycle for Security Operations, 2023).»

Tra gli usi dei risultati Gartner indica la conferma che un'esposizione teorica è reale, l'automazione di test frequenti dei controlli, il miglioramento della postura di prevenzione e il miglioramento delle capacità di rilevamento e risposta. Tre parole reggono la definizione: coerenti, continue e automatizzate. Un singolo ingaggio manuale, per quanto valido, non è ciò che la categoria descrive.

La stessa pagina elenca le funzionalità che Gartner considera obbligatorie per la categoria (aggiornamento di aprile 2026). In sintesi:

1. Pianificazione automatica, per testare più spesso senza intervento umano e produrre dati di tendenza per la gestione delle esposizioni e per le difese.
2. Scenari d'attacco forniti dal vendor che richiedono poche o nessuna competenza di hacking per essere eseguiti e dare risultati.
3. Scenari d'attacco su più vettori di minaccia, tra cui malware, email, infrastruttura applicativa e abusi di applicazioni e identità, con report allineati ai framework di sicurezza, punteggi degli attacchi e finding ordinati per priorità con impatto stimato e correzione suggerita.
4. Risultati empirici sulla postura difensiva dell'organizzazione, che migliorano dati più teorici come quelli sulle vulnerabilità.

Per chi compra ne discendono due cose. Il peso dato a scenari pronti che richiedono poca competenza di hacking riflette le radici BAS della categoria: l'AEV è pensata per essere usata da un team di sicurezza, non solo da tester specializzati. E l'elenco non dice nulla su dove gira il prodotto, su quali dati lasciano la tua rete o su quali azioni richiedono approvazione umana: queste domande restano a te.

La pagina di ricerca di Gartner riporta una Market Guide for Adversarial Exposure Validation pubblicata il 24 marzo 2026, a firma degli analisti Dhivya Poole, Mitchell Schneider ed Eric Ahlm. Il riassunto pubblico dice, in traduzione nostra: «Validare l'esposizione alle minacce, i controlli di sicurezza e la prontezza difensiva rispetto a scenari e tecniche d'attacco è utile sia ai team di sicurezza offensiva sia a quelli difensivi. I responsabili della cybersecurity devono comprendere i principali casi d'uso dell'adversarial exposure validation per orientarsi in modo efficace nel mercato.» Il documento completo, riservato ai clienti Gartner, tratta le ipotesi di pianificazione strategica, definizione, descrizione e direzione del mercato, analisi del mercato, vendor rappresentativi e raccomandazioni.

Una Market Guide non è un Magic Quadrant. Gartner spiega che una Market Guide «definisce un mercato e spiega cosa i clienti possono aspettarsi nel breve termine» e che «non valuta né posiziona i vendor all'interno del mercato, ma più spesso descrive le caratteristiche dei vendor rappresentativi». Essere citati come vendor rappresentativo non è una classifica, e non esserlo non è un giudizio. Gartner Peer Insights raccoglie anche recensioni degli utenti per il mercato AEV, che sono una cosa distinta dalla Market Guide.

Il continuous threat exposure management (CTEM) è, secondo Gartner, «un approccio pragmatico e sistemico che le organizzazioni possono usare per valutare di continuo l'accessibilità, l'esposizione e la sfruttabilità degli asset digitali e fisici» (traduzione nostra). Quando lo ha inserito tra i principali trend di cybersecurity del 2024, Gartner ha previsto che entro il 2026 le organizzazioni che orientano gli investimenti in sicurezza su un programma CTEM avrebbero ridotto di due terzi le violazioni.

Un programma CTEM si descrive di solito in cinque fasi: definizione del perimetro, individuazione, prioritizzazione, validazione e mobilitazione (vedi CTEM). Le definizioni di categoria di Gartner si allineano a queste fasi. Le exposure assessment platform, nella descrizione di Gartner, individuano e ordinano per priorità le esposizioni in modo continuo e aiutano a indirizzare la mobilitazione. L'AEV, per definizione, dimostra quali esposizioni sono reali.

La nostra lettura: l'exposure assessment risponde a cosa è esposto e cosa conta di più; l'AEV risponde a quali di quelle esposizioni un attaccante può davvero usare, e se i controlli lo fermano. Senza la fase di validazione, un programma CTEM mette in fila ipotesi.

• Origine. I prodotti nati come BAS rendono al meglio nel testare controlli e detection; quelli nati dal penetration test nel dimostrare percorsi d'attacco. Entrambi rientrano nella definizione. Vedi BAS, pentest automatizzato e AEV.
• Eseguire o modellare. La definizione ammette di «modellare o misurare l'esito». Chiedi quale delle due cose fa il prodotto per ogni finding: un risultato modellato è un indizio forte, uno misurato è un'evidenza.
• Libreria o ragionamento. Gli scenari forniti dal vendor testano bene le tecniche note. La capacità di adattarsi a ciò che si trova, o di costruire un attacco che nessuno scenario descrive, varia molto da prodotto a prodotto.
• Deployment e dati. Gartner osserva che la categoria è in genere SaaS, con o senza agenti on-premise. Se finding, credenziali o mappe di rete non devono uscire dal tuo perimetro, o l'ambiente è air-gapped, verifica questo per primo.
• Controllo umano. La definizione non dice nulla su come si approvano le azioni invasive. Chiedi quali azioni attendono una persona.
• Peso normativo. Uno strumento AEV non sostituisce i test che un'autorità richiede a tester qualificati, come il TLPT del DORA. Vedi penetration test automatizzato per le norme che indicano chi deve eseguire il test.

1. Quali vettori di minaccia coprite, e per quali eseguite davvero l'attacco invece di modellarlo?
2. Qual è l'evidenza dietro un finding, e posso verificare che non sia stata alterata?
3. Con che frequenza possono girare i test, e quanto costa testare in continuo con il vostro modello di prezzo?
4. Dove gira il prodotto, dove gira l'eventuale modello AI e quali dati lasciano la mia rete?
5. Quali azioni richiedono approvazione umana, e posso cambiarlo per singola campagna?
6. Come alimentano i risultati la prioritizzazione e la mobilitazione nel mio programma CTEM: ticket, retest dopo la correzione, report di tendenza?
7. Su quali framework di compliance mappate i finding, e come?

Zero Hunt, il prodotto dietro questo sito, non è citato da Gartner come vendor AEV, e non rivendichiamo un posto nella Market Guide. Rispetto alla definizione pubblica, ecco dove corrisponde e dove si discosta.

• Corrisponde. Produce evidenze automatizzate e ripetibili della fattibilità degli attacchi eseguendoli, non modellandoli: un red team AI autonomo per reti e infrastrutture che dimostra quali esposizioni sono sfruttabili e registra la prova. È la fase di validazione del CTEM.
• Si discosta per l'erogazione. Dove Gartner descrive la categoria come in genere SaaS, Zero Hunt è un'appliance on-premise su AI privata: i suoi modelli girano sull'appliance, nessun dato del cliente ne esce e può funzionare in air-gap.
• Si discosta per il metodo. Invece di una libreria di scenari forniti dal vendor, i suoi agenti generano codice di exploit per l'ambiente che hanno davanti, in modalità black box e gray box, e cinque livelli di autonomia decidono quali azioni attendono una persona.
• Non copre. Non nasce per ripetere scenari di consegna via email o di malware contro i gateway, né per tarare le regole di detection.

Ogni tentativo di attacco è un record firmato Ed25519 in una catena di hash SHA-256 per campagna, e i finding sono mappati su 34 framework di compliance in tutto il mondo. Confronta le opzioni nella pagina delle alternative, leggi del red team AI on-premise o richiedi una demo.

• Adversarial Exposure Validation, definizione del mercato e funzionalità obbligatorie (Gartner Peer Insights)
• Market Guide for Adversarial Exposure Validation, 24 marzo 2026, abstract (Gartner)
• Metodologia delle Market Guide (Gartner)
• Gartner Identifies the Top Cybersecurity Trends for 2024 (comunicato Gartner, 22 febbraio 2024)
• Exposure Assessment Platforms, definizione del mercato (Gartner Peer Insights)