Más de 400 apps de IA escondían deepfakes abusivos en las tiendas de Apple y Google, según WIRED

Una investigación de WIRED de este lunes ha destapado una red de más de 400 aplicaciones y dominios que pasaron la revisión de la App Store y de Google Play disfrazados de herramientas inofensivas de IA: retratos de mascotas, clases de idiomas o entrenadores personales. El trabajo se apoya en el informe «Advertised by Design» de AI Forensics, que cifra la red en 444 aplicaciones y la detectó a principios de septiembre.

El truco era un interruptor del lado del servidor. Al instalarse, cada aplicación enviaba el idioma del usuario, su origen y un identificador; el servidor decidía si mostrar la función anunciada o cargar una web oculta con generadores de deepfakes sexuales y violentos a partir de fotos reales. Uno de los disparadores era instalarla tras tocar un anuncio en Facebook o Instagram, y los créditos se pagaban vía Apple y Google. Para Paul Bouchaud, de AI Forensics, hay un solo operador tras cientos de aplicaciones desechables, promocionadas con miles de anuncios en Meta bajo nombres falsos.

En septiembre había 27 aplicaciones vivas en Google Play, con más de 350.000 descargas y 20 calificadas como aptas para menores, según el informe; una, DiffAI, superaba las 100.000 descargas. AI Forensics contó más de 84.000 anuncios vinculados a la red en Meta desde el 1 de enero. El investigador de Infoblox Maël Le Touz trazó casi 500 dominios hasta desarrolladores de habla china y una empresa de Hong Kong, KeLing Technology Limited, que no respondió a WIRED.

Apple retiró 19 aplicaciones, entre ellas Viefur, después de que WIRED le compartiera los detalles; su portavoz, Adam Dema, sostiene que cumplían las normas al ser revisadas y que los desarrolladores cambiaron después el contenido que cargaban. Google ya había retirado la mayoría antes del contacto, según WIRED. Meta afirma que actuó contra 11.600 cuentas publicitarias y 15.000 páginas, que bloqueó 209 aplicaciones de anunciarse y que vetó a KeLing en 2025, tras ignorar su carta de cese y desistimiento.

La lección es incómoda: si el contenido llega desde un servidor externo, aprobar una aplicación no garantiza lo que mostrará mañana. Apple endureció sus normas el 16 de octubre —las reglas 1.2 y 2.5.19, contra las imágenes íntimas no consentidas por IA y las funciones ocultas— y el 2 de diciembre entra en vigor la prohibición europea de estas aplicaciones. La pregunta abierta es cuántas de esta red, o de la siguiente, siguen dentro.