L'analisi interattiva è un flusso di lavoro in sandbox in cui un analista utilizza attivamente una sessione live di malware facendo clic, digitando, aprendo file o seguendo prompt. Invece di attendere solo la detonazione automatizzata, l'analista contribuisce a guidare il campione attraverso percorsi di codice che dipendono dal comportamento dell'utente, dal timing o da input specifici.
Questo è importante perché molte minacce usano l'elusione della sandbox. Un campione può restare silenzioso finché non rileva attività del mouse, interazione con un documento, inserimento in un modulo o altri segnali di un utente reale. L'analisi interattiva può esporre file rilasciati, esecuzione di comandi, callback di rete e prompt per il furto di credenziali che una sessione completamente automatizzata potrebbe non rilevare. I difensori la usano per migliorare la visibilità, confermare l'intento e raccogliere indicatori più solidi per il triage e la risposta. In pratica, è più utile quando il malware è vincolato dal comportamento e ha bisogno del tocco umano per rivelare il proprio payload.