Il download di codice a runtime è una tecnica in cui un'applicazione recupera codice aggiuntivo dopo aver già iniziato a funzionare. Invece di includere ogni funzione all'interno del pacchetto originale dell'app, lo sviluppatore o l'operatore rinvia parte della logica a un secondo momento, spesso scaricando script, moduli o un payload secondario da un server remoto.
Questo è importante nella sicurezza informatica perché nasconde il comportamento all'analisi statica. Un file può sembrare innocuo durante il caricamento, la scansione dell'app store o l'analisi basata su firme, ma diventare pericoloso solo dopo l'installazione. Gli aggressori usano i download a runtime per preparare malware, distribuire trojan bancari o modificare il comportamento per eludere il rilevamento. I difensori cercano i segnali: connessioni in uscita insolite, recuperi imprevisti di file o moduli e app il cui comportamento a runtime non corrisponde allo scopo dichiarato. Il monitoraggio del comportamento dopo l'installazione è quindi importante quanto l'ispezione del pacchetto iniziale.