Un true-positive è una rilevazione di sicurezza confermata come reale, non come falso allarme. Nella scansione delle vulnerabilità, nel rilevamento di malware o nel threat hunting, gli strumenti generano spesso molti avvisi; solo alcuni rappresentano effettive debolezze, attività malevole o violazioni delle policy. La conferma di un true-positive di solito richiede la validazione da parte di un analista, la riproduzione del problema o il confronto con indicatori noti.
Questa distinzione è importante perché i team di sicurezza hanno tempo limitato. I falsi positivi fanno perdere tempo, mentre i true-positive meritano triage, contenimento e rimedio immediati. In attacchi reali, gli strumenti automatizzati possono segnalare vulnerabilità reali in codice sorgente esposto, credenziali trapelate o comportamento di rete sospetto; i difensori usano lo stesso concetto per dare priorità a ciò che è davvero azionabile. Un alto numero di true-positive può indicare che la scansione o l'analisi assistita dall'IA stanno trovando rapidamente problemi reali, il che è utile per la difesa ma anche pericoloso se gli aggressori fanno lo stesso su codice rubato o sistemi esposti.