Les aplicacions que «despullen» persones amb IA estan prohibides a les botigues d'Apple i Google i als anuncis de Meta. Tot i això, els darrers mesos s'han multiplicat a Facebook i Instagram els anuncis amb vídeos sexuals falsos, alguns amb imatges de menors reals, que enllaçaven amb aplicacions aparentment inofensives. La revista WIRED ha seguit el rastre d'aquests anuncis amb l'ajuda de diversos investigadors.
El resultat és una xarxa de més de 400 dominis i aplicacions connectats que es presentaven com a serveis corrents: generadors de retrats de mascotes, classes d'idiomes o entrenadors personals amb IA. Segons Paul Bouchaud, investigador de l'entitat sense ànim de lucre AI Forensics, que n'ha desmuntat el codi, cada vegada que algú baixa l'app el servidor rep dades com l'origen de l'usuari o la llengua i decideix si li mostra la versió innocent o una interfície oculta amb desenes de plantilles per crear imatges i vídeos sexuals a partir de fotos pujades. Maël Le Touz, de l'empresa de seguretat Infoblox, va identificar gairebé 500 dominis vinculats. Al setembre n'hi havia 27 a Google Play, amb més de 350.000 descàrregues en total, i una sola, DiffAI, en passava de 100.000. Els serveis semblen gestionats per desenvolupadors xinesos i per una societat registrada a Hong Kong, KeLing Technology Limited, que no va respondre a WIRED.
El cas mostra com el control previ de les botigues d'aplicacions es pot esquivar fàcilment. Apple, que ha retirat 19 apps després de la consulta de la revista, explica que les aplicacions complien les normes quan les va revisar i que els desenvolupadors van canviar després el contingut que carregaven des de les seves webs; diu que l'últim any ha suspès desenes de milers d'apps per aquest mateix parany. Google havia retirat la majoria de les aplicacions abans de rebre la consulta, però no va fer cap comentari. «És una operació organitzada i comercial», resumeix Bouchaud, que hi afegeix que els responsables no esperen que se'ls aturi, «i fins ara no ha passat».
La investigació es basa en l'anàlisi tècnica del codi i dels dominis, no en una confirmació de les autoritats, i la vinculació amb KeLing Technology surt de rastres als registres i a les adreces de contacte. Tampoc no se sap del cert quines condicions fan aparèixer la versió explícita: els investigadors només han vist que un dels desencadenants és arribar a l'app des d'un anunci de Meta. Les empreses continuen sense explicar com es van poder publicar desenes d'aquestes aplicacions cada setmana durant prop d'un any.