攻撃される理由と、攻撃の方法は違う。これが本質的な問題です。
延長サポート中のXPは、攻撃される理由を無くすよう改良が続けられました。
対して、ウィルス対策ソフトは、攻撃方法の情報を集め
攻撃が行われないように、後から対策を進めていくものです。
ですから、お金を節約できないという脆弱性のある人に
クレジットカードを持たせない。大金を持ち歩かせない。
という対策を行なっても、
友人に借金して買い物してきた…みたいな新しい攻撃には無力なわけです。
理論上、その新しい攻撃の可能性は際限なしと考えられるので、安全にはなりません。
その上、多くの脆弱性は、影響を受けるシステムとして
複数のOSが挙げられるという状況にあります。
これは、WindowsNTシリーズとして、Windows2000,XP,Vista,7,8,8.1と
共通した部分がいくらでもあるためです。
ですから、ある脆弱性が発見された際に
XPや2000だけが放置され、新しい攻撃方法に出くわせば
ウィルス対策ソフトは役に立ちません。
Microsoftでは影響されるOSに2000,XPを含まないカタチで発表しますが
発表されるVista以降を攻撃するために作られたウィルスが
実は、XP,2000でも機能するものだったなんてこともおきるのです。
基本的にXPはネットワーク機能を無効にして使うしかありません。
あるいはXPでしか動かないソフト以外の用途には
Xubuntu12.04LTSなどの、現行の軽量版Linux系OSなどを用いるという手もあります。