Un attacco adattivo è un cyberattacco che cambia il proprio comportamento, la tempistica, il payload o il percorso di esecuzione per evitare di essere riconosciuto. Invece di seguire un unico schema fisso, può modificare il codice, ruotare l'infrastruttura, mettere in pausa quando rileva un'analisi o usare tattiche diverse su obiettivi diversi.
Questo è importante perché molte difese si basano ancora su indicatori stabili come hash, firme o domini malevoli noti. Quando un attaccante si adatta, questi controlli possono non rilevare la minaccia o individuarla troppo tardi. Nelle operazioni reali, gli attacchi adattivi spesso si presentano come malware che controlla la presenza di sandbox, campagne di phishing che variano il testo e la consegna, o intrusioni che si muovono lateralmente solo dopo aver confermato l'accesso. I difensori rispondono con il rilevamento basato sul comportamento, la correlazione della telemetria, il threat hunting e la convalida ripetuta dei controlli. L'idea chiave è che la sicurezza deve monitorare il modo in cui un attacco agisce, non solo il suo aspetto in un dato momento.