Ответ:

Правильный вариант — распознавать опасную программу по её поведению, даже если её нет в базе. Это поведенческий анализ: антивирус оценивает действия программы, а не только сверяет её с известными образцами.