282 applications iOS exposent des clés API d'IA en clair dans leur trafic réseau
282 APPLICATIONS IOS EXPOSENT DES CLÉS API D'IA EN CLAIR DANS LEUR TRAFIC RÉSEAU
Une étude portant sur 444 applications de chatbot IA pour iPhone révèle que 282 d'entre elles, soit près des deux tiers, exposent des accès payants à des modèles d'IA via leur trafic réseau. Dans de nombreux cas, une simple analyse du trafic suffit à récupérer une clé API en clair, un token réutilisable, voire un serveur backend acceptant des requêtes sans authentification. Tout individu interceptant ces données peut ainsi exploiter les comptes développeurs concernés pour envoyer des requêtes aux modèles de langage à leurs frais.
IMPACTS POUR LES ORGANISATIONS
- ▸Impact financier direct - utilisation frauduleuse des quotas et crédits API au détriment des développeurs
- ▸Exposition des backends IA - accès non autorisé aux modèles LLM hébergés par les éditeurs
- ▸Risque de compromission en chaîne - les tokens réutilisables permettent des attaques persistantes
- ▸Manque de contrôle côté développeur - aucune authentification requise sur certains serveurs exposés
Analyse
Des chercheurs en sécurité ont analysé 444 applications de chatbot basées sur l'IA disponibles sur l'App Store d'Apple. Résultat : 282 d'entre elles exposent des accès à des services d'IA payants directement dans leur trafic réseau, sans mécanisme de protection adéquat.
Les vecteurs d'exposition identifiés incluent des clés API transmises en clair, des tokens réutilisables sans expiration, et des serveurs backend configurés pour accepter des requêtes entrantes sans aucune vérification d'identité. Un attaquant disposant d'un simple proxy d'interception peut récupérer ces éléments et usurper l'identité du compte développeur pour interroger les modèles LLM.
Cette problématique illustre un défaut récurrent dans le cycle de développement mobile : l'absence de gestion sécurisée des secrets. Les bonnes pratiques recommandent de ne jamais embarquer de clés API dans le code client, d'utiliser des mécanismes d'authentification côté serveur, et de mettre en place une rotation régulière des credentials exposés.
Source : The Hacker News
Source
Synthèse SecuriTrust de l'article publié par The Hacker News : 282 iOS AI Apps Leak API Keys and Open AI Proxy Access in Network Traffic Study