Webapps são bastante complexos nos dias de hoje e tecnologias como Flash, Java, ActiveX, Silverlight e outras permitem um grande número de recursos que um antivírus precisaria.
O Java, em particular, é uma linguagem de programação completa e, se você der a ele as permissões para rodar em sua máquina, terá o mesmo poder e capacidade que qualquer aplicativo executado localmente.
Se ele fosse programado em Java ou similar, ele simplesmente baixaria o aplicativo principal em seu navegador e carregaria as definições de vírus da "nuvem". Em seguida, seria executado localmente como se fosse o seu scanner de vírus padrão. Tudo o que faltaria seriam os privilégios de administrador que um antivírus devidamente instalado teria.
O ActiveX teria permitido potência semelhante, mas acredito que seu uso está obsoleto agora. Existem provavelmente outras ferramentas que podem fazer semelhantes.
- = EDIT = -
Eu suspeito que o recurso "nuvem" é simplesmente um banco de dados de definição de vírus em constante evolução com algumas heurísticas envolvidas, se um usuário de computador determinar que algo é uma ameaça, essa detecção será imediatamente enviada para outros computadores.
A "nuvem" é simplesmente a frase atual para tentar vender seu produto. Marketing BS basicamente.