282 apps de iOS exponen claves API de IA: el descontrol de los secretos en el tráfico de red

Introducción

Dos de cada tres apps de chatbot con IA para iPhone filtran claves de acceso a modelos de lenguaje. El hallazgo no es una vulnerabilidad exótica: es negligencia básica de desarrollo que cualquiera con un analizador de tráfico puede explotar.

El problema

Un equipo de investigadores analizó el tráfico de red de 444 aplicaciones de chatbot con inteligencia artificial para iOS y descubrió que 282 de ellas —casi el 64%— exponen acceso pago a modelos de IA a través de su comunicación en claro. Según reportó The Hacker News, en muchos casos bastaba con interceptar lo que la app enviaba para encontrar una clave API en texto plano, un token reutilizable, o incluso un backend que aceptaba solicitudes sin ninguna autenticación. Quien captura esos datos puede consumir el modelo de IA a costa del desarrollador.

Consecuencias

El impacto inmediato es económico: cualquier atacante con acceso al tráfico —en una red Wi-Fi pública, por ejemplo— puede enviar consultas masivas al modelo de lenguaje usando la cuenta del desarrollador, generando facturas de API que escalan rápido. Pero el problema va más allá: si la app también expone lógica de negocio o datos de usuarios en el mismo flujo, la fuga puede incluir información sensible. Además, la reputación del desarrollador y la confianza del usuario quedan bajo sospecha cuando una app de IA filtra secretos de forma tan elemental.

Causas