Il thresholding è l'uso di una soglia di confidenza per decidere quando un sistema automatizzato deve agire, rimandare o escalare. Negli strumenti di sicurezza, un classificatore può attribuire a un evento un punteggio di phishing, malware o benigno; solo i punteggi superiori a una soglia impostata attivano il blocco, la quarantena o un avviso all'analista. I punteggi inferiori alla soglia possono essere ignorati o inviati a un percorso di fallback per la revisione umana.
Questo è importante perché i sistemi informatici sono spesso valutati in base alla velocità e ai falsi positivi tanto quanto all'accuratezza. Una soglia troppo bassa può consentire a segnali deboli di guidare automazioni rischiose, mentre una troppo alta può far perdere attacchi reali e sommergere i team di rumore. Gli aggressori possono sfruttare un thresholding inadeguato creando input borderline che eludono il rilevamento o attivano risposte non necessarie. Un buon thresholding è di solito affiancato da registrazione, taratura e regole di escalation chiare.