Des centaines d'applications d'IA du quotidien dissimulaient un créateur de deepfakes à caractère sexuel, révèle WIRED

Une application de portraits d'animaux de compagnie qui habille votre hamster en short de plage n'était en réalité qu'une façade. Viefur appartenait à un réseau de plus de 400 applications et sites web qui ressemblent à des outils d'IA courants, mais qui peuvent activer une fonction cachée permettant de créer des deepfakes à caractère sexuel de personnes réelles, a rapporté WIRED lundi.

Les chercheurs ont découvert ce réseau en suivant des liens contenus dans des milliers de publicités deepfake explicites sur Facebook et Instagram., d'après l'enquête de WIRED. Les publicités redirigeaient les utilisateurs vers des applications disponibles sur les plateformes d'Apple et de Google.

Comment fonctionnait l'astuce

Ces applications se faisaient passer pour des professeurs de langues, des coachs sportifs et des éditeurs photo. Une fois installées, chacune interrogeait discrètement un serveur pour connaître le contenu à afficher. Le serveur vérifiait des informations telles que la provenance et la langue de l'utilisateur, puis choisissait entre l'application inoffensive et une page web cachée contenant des modèles explicites.

Paul Bouchaud, chercheur principal au sein de l'organisation à but non lucratif AI Forensics, a analysé le code. L'un des déclencheurs semblait être l'installation d'une application après avoir cliqué sur une publicité sur les plateformes de Meta. La page cachée permettait aux utilisateurs de télécharger des photos de n'importe qui et de les intégrer à des scènes à caractère sexuel et violent. Ces outils sont souvent qualifiés de “ nudification ”. Les utilisateurs payaient avec des “ diamants ” virtuels, via Apple Pay et Google Pay.

“ Il s'agit d'une opération organisée et gérée à des fins commerciales ”, a déclaré Bouchaud à WIRED. “ Ils ne s'attendent pas à ce que les forces de l'ordre rattrapent leur retard, et jusqu'à présent, ce n'est pas le cas. ”

Les chiffres

En septembre, Bouchaud a recensé 27 applications actives sur Google Play, totalisant plus de 350 000 téléchargements. Nombre d'entre elles étaient classées comme convenant à tous les âges. L'une d'elles, DiffAI, a dépassé les 100 000 téléchargements avant d'être retirée. Au plus fort de l'activité, une trentaine de nouveaux sites web d'applications étaient enregistrés chaque semaine. Maël Le Touz, de la société de sécurité Infoblox, a répertorié près de 500 domaines.

L'enquête mène à des développeurs sinophones et à une société hongkongaise, KeLing Technology Limited. Celle-ci n'a pas répondu aux sollicitations de WIRED.

Ce qu'ont dit les plateformes

Apple a retiré 19 applications, dont Viefur, après avoir été contactée par WIRED. “ Ces applications étaient conformes à nos règles lors de leur examen ”, a déclaré Adam Dema, porte-parole d'Apple. Il a précisé que les développeurs avaient par la suite modifié le contenu des applications. Google avait déjà retiré la plupart des applications et n'a fait aucun commentaire.

Meta a annoncé interdire la publicité de KeLing en 2025. L'entreprise a depuis lors pris des mesures contre 11 600 comptes publicitaires et bloqué 209 applications. Malgré cela, des publicités et des applications similaires continuaient d'apparaître au moment où WIRED terminait son enquête.

Pourquoi c'est important

Dans ce cas précis, la fiche produit et la classification par âge n'ont servi à rien aux parents, car l'application approuvée par Apple et Google n'était pas celle reçue par certains utilisateurs. Les autorités de régulation examinent déjà de près les produits d'IA destinés aux enfants. L'Australie l'a montré la semaine dernière, et l'examen des applications qui s'arrête au jour de l'approbation fait désormais partie de ce problème.