Un segnale di sfruttamento attivo è la prova che una vulnerabilità è già in uso nel mondo reale, anziché essere solo teoricamente pericolosa. Il segnale può provenire da threat intelligence, telemetria, honeypot, report di intrusione, codice di exploit associato a scansioni osservate, oppure da tentativi ripetuti contro sistemi esposti.
Questo è importante perché cambia la priorità della remediation. Una debolezza con forti evidenze di sfruttamento attivo è più urgente di una che è classificata come grave solo sulla carta. I team di sicurezza usano questi segnali per guidare il triage consapevole degli exploit, soprattutto quando le finestre di patching sono brevi e le risorse limitate. In pratica, un segnale di sfruttamento attivo può portare un sistema in cima alla coda, attivare patch di emergenza o giustificare controlli temporanei come l'isolamento, la limitazione della velocità o regole di firewall compensative. I difensori usano anche questi segnali per verificare se una vulnerabilità è probabilmente presa di mira nel loro ambiente, mentre gli attaccanti si affidano alle stesse prove pubbliche per scegliere il percorso più rapido verso il compromesso.