Una vulnerabilità vera positiva è una segnalazione di sicurezza che è stata verificata come reale. Non si tratta di un falso allarme, di un duplicato o di una corrispondenza di pattern che sembra solo rischiosa. Gli strumenti di sicurezza, i revisori del codice e i penetration tester usano questa etichetta dopo aver controllato prove come percorsi di codice raggiungibili, sfruttabilità o una proof of concept riproducibile.
Questo è importante perché la triage è un grande collo di bottiglia nella sicurezza informatica. Se i team perdono tempo sui falsi positivi, trascurano bug urgenti e rallentano la correzione. Nella revisione del codice sorgente, per esempio, un sistema di IA può segnalare molte funzioni sospette; solo i problemi confermati contano come veri positivi. Anche gli attaccanti si preoccupano di questa distinzione, perché le debolezze confermate sono quelle che vale la pena prendere di mira. I difensori si affidano alla validazione dei veri positivi per dare priorità alle patch, ridurre il rumore e giustificare le azioni di risposta con prove anziché con ipotesi.