能通过internet自动下载并且运行程序，这听上去就像是写病毒的人做梦都想做的事。当你点击了web站点，除了会自动下载HTML页面之外，还会下载很多其他东西：GIF文件，脚本程序，编译过的Java代码，ActiveX组件等等。GIF文件不会做任何坏事，脚本语言由于功能有限也做不了什么。同样Java设计的时候就规定，applet只能在安全的“沙箱”之内运行，这样就能防止它向磁盘读写，或是访问沙箱之外的内存。

Web浏览器里的Java解释器会在装载applet的时候查出所有不合格的指令。更重要的是，applet既不能往磁盘上写文件，也不能删除文件（病毒破坏性的重要特征之一）。通常applet被认为是安全的，而且由于事关客户/服务器的可靠性，Java语言中的所有能被病毒利用的bug都会被尽快修复。值得一提的是浏览器实际上强化了这种安全限制，有些浏览器允许你选用不同的安全级别来访问系统。

Java web start也是一个相对比较新的方法，它能很方便的分发无需在web浏览器中运行的独立的程序。在浏览器里运行程序的客户端编程总有一些问题，而这项技术有望解决这些问题。Web start的程序既可以是签名的，也可以是每次都要得到用户许可才能运行那些可能对本地机造成破坏的程序的。