Il time-to-bypass è il tempo misurato che occorre a un attaccante per superare una protezione, un controllo o una barriera durante i test di sicurezza. Invece di chiedersi solo se una difesa abbia fallito, questa metrica chiede quanto rapidamente sia fallita sotto pressione ripetuta. Un time-to-bypass breve di solito indica un controllo fragile; un tempo più lungo suggerisce che l'attaccante abbia dovuto dedicare più sforzo a individuare una debolezza.
Nella sicurezza informatica, il time-to-bypass aiuta i team a confrontare difese che possono sembrare simili in un semplice test di superamento/fallimento. È utile nel red teaming, nei test di prompt injection, nella valutazione dei limiti di frequenza e in altre esercitazioni avversarie in cui la persistenza conta. I difensori possono usarlo per vedere se le modifiche rendono l'abuso più difficile, più lento o meno affidabile. Per i sistemi di IA, è particolarmente utile perché una barriera può bloccare molti tentativi ovvi ma cedere comunque rapidamente a un attacco mirato al flusso di lavoro o a un input costruito ad arte. Misurare il time-to-bypass offre una visione della resilienza più chiara di un semplice tasso di successo.