Una metrica di esposizione misura quanto ampiamente sia stato scaricato un pacchetto sospetto o malevolo. È un segnale utile, ma non dimostra quanti sistemi unici siano stati compromessi. Un singolo download può provenire da un laptop di uno sviluppatore, da un runner CI, da uno specchio, da uno scanner automatizzato o da una reinstallazione ripetuta dello stesso pacchetto.
In cyber security, questa distinzione è importante perché chi difende deve evitare di trattare il numero di download come numero di vittime. Un pacchetto con una metrica di esposizione elevata può meritare una revisione urgente perché ha avuto molte opportunità di eseguirsi tramite script al momento dell'installazione o catene di dipendenze. I team di sicurezza usano la metrica per dare priorità alle attività di hunting su endpoint, sistemi di build e cache, quindi confermano la compromissione effettiva con log, tracce dei processi e rotazione delle credenziali. In breve, l'esposizione mostra la portata; l'indagine mostra l'impatto.