La non stazionarietà è una condizione in cui le proprietà statistiche dei dati cambiano nel tempo. Nella sicurezza informatica, questo significa che i modelli che un sistema apprende dai log, dai flussi di rete o dal comportamento degli utenti possono smettere di rispecchiare la realtà man mano che attaccanti, software e infrastruttura evolvono. Un modello addestrato sul traffico del mese scorso può diventare meno affidabile quando vengono distribuiti nuovi servizi, il lavoro da remoto cambia il comportamento normale oppure un attaccante modifica le proprie tattiche.
Questo è importante perché molti strumenti di sicurezza presuppongono schemi stabili. In realtà, la non stazionarietà può causare falsi positivi, mancate rilevazioni e punteggi di rischio deboli. I difensori la gestiscono con riaddestramento continuo, monitoraggio del drift, validazione sensibile al tempo e funzionalità che si adattano alle condizioni correnti. Anche gli attaccanti possono sfruttarla cambiando gradualmente payload, tempi o infrastruttura per rimanere al di fuori delle vecchie regole di rilevamento. In breve, la non stazionarietà è il motivo per cui le analisi di sicurezza devono essere aggiornate come un sistema vivo, non trattate come un modello usa e getta.