In almeno alcuni prodotti AV (Kaspersky è uno di quelli che conosco), l'applicazione locale ha firme e controlli euristici / comportamentali. Quello che sta facendo è (penso) tre cose:
- In caso di dubbio (l'euristica e il rilevamento del comportamento sono sistemi statistici, quindi potrebbero non essere sicuri al 100% come classificare qualcosa), o sembra sbagliato ma non corrisponde a una firma, il caricamento del file può consentire l'esame umano e l'aggiornamento delle firme in modo che altri sistemi siano più esattamente protetti.
- Se non è chiaro o l'utente ha specificato che sceglierà tutte le azioni, allora può essere utile verificare come altri utenti hanno gestito lo stesso file. Se la maggior parte lo blocca, l'utente può dirlo. (Ho usato questa funzione parecchio per dare un senso di conforto a processi di sistema "strani" che non posso dire sono necessari o sprecare risorse.)
- Le aziende anti-malware registrano anche molto il malware. Se non riescono a ottenere un riscontro su ciò che è stato rilevato (e su quali varianti o comportamenti visti), non possono fare il proprio lavoro con la stessa accuratezza. Per fare un semplice esempio, Stuxnet ha tentato apparentemente di attaccare solo se ha rilevato determinati componenti hardware e aree geografiche. Una società di antivirus nel (diciamo) Canada potrebbe non vedere mai molti file per analizzarli, a meno che il loro software in altre località non possa sospettare i file autoforward a loro.
Contro questo, molto spesso un hash (usato come valore numerico che identifica univocamente un file) è abbastanza, e molto più veloce da inviare, quindi mi aspetterei molto tempo, cioè ciò che viene inviato e controllato . Puoi vederlo sul sito web virustotal.com che ti consente di inserire un hash di un file invece di caricare l'intero file stesso.
Sì, ci sono problemi di sicurezza. Ma dato il potere all'interno del sistema concesso a un pacchetto antimalware, se non ti fidi di loro, avrai preoccupazioni ben più grandi della loro infrastruttura cloud .....