Un percorso di exploit è la sequenza di passaggi, debolezze e condizioni che un attaccante usa per trasformare una falla di sicurezza in un accesso o controllo reale. È più di un singolo bug: un'applicazione vulnerabile, credenziali deboli, autorizzazioni configurate in modo errato e una tecnica di escalation dei privilegi possono combinarsi in un unico percorso praticabile verso un sistema.
Questa idea è importante perché i difensori non si chiedono solo se esiste una falla; si chiedono se può essere raggiunta e concatenata fino a produrre un impatto. Negli attacchi reali, un percorso di exploit può iniziare con phishing o servizi esposti, poi passare attraverso l'esecuzione di codice, il furto di credenziali, il movimento laterale e la persistenza. I team di sicurezza usano lo stesso concetto anche in difesa, mappando il percorso, bloccando l'anello più facile, applicando patch ai componenti vulnerabili, rafforzando gli accessi e isolando i sistemi critici. Quando si dice che un modello o uno strumento aiuta a generare percorsi di exploit, significa che può ridurre il tempo e la competenza necessari per assemblare quei passaggi in una compromissione pratica.