Lors Sandbox 2026 » organisé par Venak Security,Sandbox Adaptive MetaDefender Sandbox 95 % des échantillons de logiciels malveillants générés par l'IA.

Les quatre fournisseurs et les cinq catégories ont fait l'objet de quatre-vingts évaluations, qui ont abouti à un taux de réussite global de 68,8 %. Venak Security a souligné que OPSWAT Adaptive Sandbox » OPSWATSandbox « Malwation THREAT.ZONE » « ont fait un travail remarquable dans la détection des échantillons », tandis que « CrowdStrike Falcon Sandbox « ANY.RUN » n'ont détecté respectivement que trois et un échantillon.

Les résultats par catégorieSandbox Adaptive SandboxOPSWAT montrent une efficacité constante face aux ransomwares, aux logiciels de vol d'informations et aux logiciels malveillants obfusqués, la seule variation concernant la catégorie des « exploits de sideloading de DLL ».

Dans la catégorie « Ransomware Zero-day », Adaptive Sandbox OPSWATSandbox Malwation THREAT.ZONE ont chacun détecté six échantillons sur six. Falcon Sandbox de CrowdStrike Sandbox trois sur six, et ANY.RUN un sur six.

Nos experts ont analysé et documenté des campagnes de ransomware telles qu’Interlock et Qilin, diffusées par le biais d’attaques ClickFix, dans lesquelles l’émulation au niveau des instructions a permis de détecter les contrôles anti-VM et les temporisateurs de veille avant que la charge utile n’atteigne un terminal. Cette même vulnérabilité est présente dans les environnements OT, où nous avons constaté que le nombre de groupes de ransomware actifs ciblant les réseaux ICS et OT est passé de 80 en 2024 à 119 en 2025.

Dans le secteur de la santé, nous avons expliqué pourquoi la protection des terminaux à elle seule ne suffit pas face à une faille « zero-day » menant à un ransomware, et pourquoi l'analyse en sandbox basée sur l'émulation permet de détecter ce qui nécessite une inspection comportementale plus approfondie.

Dans la catégorie des logiciels malveillants de type « infostealer », OPSWAT Adaptive Sandbox OPSWATSandbox Falcon Sandbox de CrowdStrike ont Sandbox réussi quatre échantillons sur quatre. Malwation THREAT.ZONE en a réussi trois sur quatre, tandis qu’ANY.RUN n’en a réussi aucun sur quatre. Les « infostealers » restent une charge utile courante dans le monde réel. Nous avons recensé des cas où une porte dérobée diffusée par hameçonnage a installé un « infostealer » .NET afin de récupérer des identifiants dans les navigateurs et les applications.

Nous avons observé les mêmes techniques dans les campagnes ClickFix, qui ont diffusé des logiciels de vol d'informations tels que Lumma, StealC, Vidar, AMOS et Odyssey.

Dans la catégorie « Exploits de sideloading de DLL », Malwation THREAT.ZONE a été le seul fournisseur à réussir le test sur l’échantillon unique examiné. Le sideloading de DLL est une technique activement utilisée dans la nature ; nos experts ont suivi une campagne réelle au cours de laquelle un acteur malveillant a détourné un utilitaire Canon légitime et signé pour effectuer le sideloading d’une DLL malveillante et déployer la porte dérobée PlugX, une chaîne que seul notre Adaptive Sandbox lors de l’exécution.

Dans la catégorie « Malwares obscurcis », Adaptive Sandbox CrowdStrike Falcon Sandbox ont Sandbox réussi quatre échantillons sur quatre. Malwation THREAT.ZONE et ANY.RUN n'en ont réussi aucun sur quatre. Venak Security a souligné que les deux solutions « ont réalisé un travail fantastique lors de ces deux tests ».

Il s'agit d'un schéma que nous suivons de près : les logiciels malveillants compressés, chiffrés et polymorphes obligent l'émulation au niveau des instructions à les déchiffrer et à révéler la charge utile que les outils statiques ne parviennent pas à détecter. Nous avons observé la même approche lors d'une campagne « Comebacker » menée par le groupe Lazarus dans les secteurs de l'aérospatiale et de la défense, où l'émulation a permis de mettre au jour des techniques d'obfuscation personnalisées utilisant le XOR et l'inversion de bits, des étapes de chargement basées sur ChaCha20, ainsi qu'une exécution exclusivement en mémoire.

Dans la catégorie « Détection Sandbox », Adaptive Sandbox, CrowdStrike Falcon Sandbox et Malwation THREAT.ZONE ont chacun réussi les cinq échantillons. ANY.RUN en a réussi quatre sur cinq.

Sandbox Adaptive Sandbox OPSWATSandbox le sandbox le plus rapide parmi ceux testés, avec une durée moyenne d’environ 10 secondes par échantillon. Venak Security l’a qualifié de « solution la plus performante de cette évaluation », tandis que Sandbox Falcon Sandbox de CrowdStrike Sandbox dernier parmi les quatre fournisseurs, avec une durée moyenne de 2 à 3 minutes par échantillon.

La vitesse a une incidence directe sur le débit du SOC. Une sandbox capable de rendre un verdict en quelques secondes plutôt qu’en quelques minutes peut traiter un nombre bien plus important de fichiers pendant les pics de volume, sans générer de files d’attente d’analyse ni retarder l’automatisation en aval dans les workflows SIEM et SOAR.

Venak Security a lancé son simulateur de logiciels malveillants basé sur l'IA en septembre 2024 et évalue depuis lors des produits de cybersécurité dans le cadre de tests tant privés que publics. L'évaluation du deuxième trimestre 2026 constitue le premier test public en sandbox réalisé par Venak à partir du cadre Sandbox AMTSO Sandbox Framework v1.0, faisant suite à l'évaluation privée mentionnée dans notre précédent article.

OPSWAT Résultats des tests Adaptive Sandbox d’OPSWATSandbox

Les deux tests ayant utilisé des méthodologies différentes, les résultats ne sont pas directement comparables en termes de variation en pourcentage absolu. Les performances de détection se sont améliorées, tandis que la vitesse d'analyse est restée dans la même fourchette.

Pour les équipes SOC et de recherche de menaces, cette cohérence entre deux cycles de test indépendants importe davantage que n’importe lequel de ces résultats pris isolément. Une sandbox qui affiche de bonnes performances dans toutes les catégories — ransomware, voleurs d’informations et logiciels malveillants obfusqués — réduit les angles morts que les attaquants pourraient autrement exploiter en changeant de technique. Associée à des verdicts rendus en environ 10 secondes en moyenne, cette caractéristique se traduit par une diminution des détections manquées et de l’encombrement des files d’attente au niveau du périmètre, ce qui permet aux systèmes SIEM et SOAR automatisés de continuer à fonctionner sans intervention manuelle.

MetaDefender est la solution unifiée de détection des menaces « zero-day » OPSWAT, qui intègre Adaptive Sandbox l’une des cinq couches d’un pipeline de détection unique. Les fichiers passent par la couche 1 (réputation des menaces) et la couche 2 (IA prédictive Alin), qui fournissent des verdicts basés sur l'apprentissage automatique avant l'exécution, puis par la couche 3 (analyse dynamique), qui s'appuie sur la technique de « détonation » par émulationSandbox Adaptive Sandbox, la couche 4 (évaluation des menaces par apprentissage automatique) et la couche 5 (recherche de menaces par IA) pour aboutir à un verdict exploitable.

Chaque couche permet d'affiner les éléments nécessitant un examen plus approfondi avant de passer à la suivante. L'IA prédictive Alin signale les fichiers à haut risque en quelques millisecondes sans les exécuter, ce qui réduit le volume de fichiers parvenant à l'étape d'analyse dynamiqueSandbox Adaptive Sandbox. Les fichiers qui passent avec succès l'analyse dynamique sont soumis à une évaluation des menaces, puis à une recherche de menaces basée sur la similarité, qui établit des corrélations entre les résultats et les familles de logiciels malveillants et les campagnes connues.

Les résultats du test réalisé par Venak Security reflètent la puissance de détection Adaptive Sandbox. Au sein de MetaDefender , cette même puissance de détection fonctionne en complément de quatre couches supplémentaires, offrant ainsi aux équipes du SOC et de recherche de menaces un verdict unique et consolidé par fichier, au lieu de résultats distincts qu’il faudrait corréler manuellement.

Les résultatsSandboxAdaptive Sandbox lors du test indépendant mené par Venak Security reflètent les performances du même moteur de détection qui est au cœur de MetaDefender , la solution unifiée de détection des vulnérabilités « zero-day » OPSWAT. Discutez avec un expert pour découvrir comment le pipeline à cinq niveaux MetaDefender s'intègre à votre infrastructure de sécurité.