O que o Gartner nomeou em março de 2026
AEV, de adversarial exposure validation, é a categoria de mercado que o Gartner nomeou em 24 de março de 2026, no Market Guide for Adversarial Exposure Validation, para as tecnologias que entregam evidência consistente, contínua e automatizada da viabilidade de um ataque. A definição do documento já descreve o método: executar cenários de ataque contra o ambiente e medir o resultado, para provar a existência e a exploitabilidade das exposições.
A palavra que carrega o peso é adversarial. O sistema faz o que o adversário faria, no ambiente que existe hoje, e o resultado do teste é a saída. Nenhuma nota derivada de tabela entra nessa conta.
Em português e em espanhol o termo ainda circula em inglês. Validação adversarial de exposição é a forma que aparece quando alguém traduz.
O que a prova da AEV acrescenta ao número
Um programa maduro já tem três sinais numéricos sobre cada falha: gravidade teórica pelo CVSS, probabilidade de exploração pelo EPSS e exploração confirmada no mundo pelo catálogo da CISA. Os três descrevem a falha. Nenhum deles descreve o seu ativo.
A AEV responde a quarta pergunta, que é a única específica: esse caminho está aberto aqui, agora, nesta configuração?
A diferença aparece na conversa com o dono do sistema. "Esta CVE tem EPSS 0,61" abre uma negociação sobre janela de manutenção. "Este servidor respondeu a uma requisição vinda de fora da rede e o retorno chegou pelo canal que montamos para o teste" encerra a negociação.
A prova tem um custo. Ela é mais cara de produzir que a nota, e nem toda falha aceita ser provada sem derrubar o serviço. Um programa honesto separa o que ficou comprovado do que ficou provável, e escreve essa distinção ao lado do achado.
O que a categoria AEV absorveu
A AEV juntou dois rótulos que o Gartner tratava em separado até o Hype Cycle de 2023.
Simulação de brecha e ataque. Conhecida pela sigla BAS, parte de uma posição já dentro do ambiente e executa técnicas conhecidas contra os controles, para medir o que a detecção viu e o que passou. A pergunta é sobre a eficácia do controle.
Teste de intrusão automatizado. Parte de uma posição externa, ou de um ponto qualquer da rede, e encadeia passos até chegar a um efeito. A pergunta é sobre o caminho.
O nome novo reúne os dois debaixo de uma ideia comum: evidência produzida por execução, no lugar de conclusão tirada de correspondência de versão. Um scanner compara a versão do componente com uma base de falhas conhecidas e devolve candidatos. A validação adversarial pega esses candidatos e tenta.
Onde a AEV entra num programa de CTEM
O CTEM organiza o trabalho em cinco fases: escopo, descoberta, priorização, validação e mobilização. A AEV é o nome de mercado da quarta fase.
O mesmo guia do Gartner projeta que até 2029 60% das organizações terão adotado uma prática estruturada de validação de exposição dentro de um programa de CTEM. A projeção diz mais sobre a lacuna de hoje que sobre o mercado de 2029. Em 2026, validação estruturada ainda é minoria, e a maior parte dos programas termina na priorização, com uma fila ordenada por nota que ninguém verificou.
Onde o rótulo AEV vira só rótulo
A sigla AEV apareceu no material de praticamente todo fornecedor da categoria nos meses seguintes à publicação do guia. Como critério de compra, o nome deixou de separar qualquer coisa.
Três perguntas separam.
Qual é a prova? Retorno fora de banda, diferença de resposta, marcação gravada no destino e medição de tempo não têm o mesmo peso. Peça o formato da evidência antes de olhar o painel.
Qual é a frequência? Uma validação por trimestre descreve o ambiente da semana em que rodou. O compromisso de cadência vale mais que a lista de técnicas cobertas, e é o que o verbete de validação contínua desenvolve.
Qual é o limite declarado? Nenhuma plataforma cobre toda CVE publicada. A cobertura real é por falha com módulo de detecção construído, porque nem toda CVE tem dado público suficiente para virar módulo. Quem declara isso está dizendo a verdade sobre o produto.
O que a AEV não resolve
Ela não descobre o que ninguém inventariou. Validar com disciplina uma lista incompleta produz métrica boa sobre o pedaço conhecido do problema e deixa intacto o ativo que nunca entrou na conta. Descoberta vem antes, e a ordem das fases do CTEM existe por esse motivo.
Ela também não substitui o teste conduzido por gente. Lógica de negócio, cadeia de autorização e abuso de fluxo continuam exigindo alguém sentado no teclado, e é para isso que serve o teste pontual. A máquina cobre menos em profundidade e muito mais em frequência, e um programa maduro mantém os dois.
A CSURFACE opera essa etapa de AEV sobre a superfície externa. Ela descobre o ativo que responde na internet, testa exploitabilidade sobre o que descobriu e entrega o achado com a prova e o grau de confiança escritos ao lado. Quando a única forma de comprovar seria derrubar o serviço, o item fica registrado como provável e não sobe para comprovado. Rede interna, endpoint, correio eletrônico e teste autenticado de aplicação web ficam fora. As três condições que tornam uma falha explorável estão no verbete de validação de exploitabilidade.