La varianza di implementazione è la piccola ma importante differenza nel modo in cui la stessa funzionalità software si comporta su piattaforme, versioni o ambienti diversi. Il progetto può essere identico sulla carta, ma il comportamento nel mondo reale può cambiare a causa di API del sistema operativo, gestione del browser, policy del dispositivo, flussi di recupero o percorsi di codice specifici del vendor.
Nella sicurezza informatica, queste differenze sono importanti perché gli attaccanti raramente devono sconfiggere l'idea centrale di un controllo. Spesso cercano il singolo ramo che si comporta in modo diverso. Una funzionalità di accesso come una passkey può essere generalmente robusta, ma può comunque esporre una debolezza se Windows gestisce la registrazione, i prompt o le opzioni di fallback in modo meno rigoroso rispetto ad altri sistemi. I difensori usano la stessa idea al contrario: testano i casi limite, confrontano il comportamento tra piattaforme e analizzano i percorsi alternativi per individuare dove le ipotesi di sicurezza smettono di essere uniformi. La varianza di implementazione è spesso il punto in cui emerge una superficie di attacco nascosta.