Investigadores de la Universidad Wake Forest probaron 444 aplicaciones de chatbot con inteligencia artificial para iPhone y descubrieron que 282 de ellas, casi dos tercios, exponían acceso de pago a servicios de IA a través de su tráfico de red.
En muchos casos, la vía de entrada era visible simplemente observando lo que la app enviaba: una clave API en texto plano, un token reutilizable o un servidor backend que aceptaba solicitudes sin ninguna clave. Quien la intercepta puede enviar peticiones de modelo a costa del desarrollador. Tres meses después de que los investigadores alertaran a los desarrolladores, solo el 28% lo había corregido.
El trabajo, realizado por investigadores de la Universidad Wake Forest, es el primer estudio en profundidad del problema en iOS. Es llamativo en parte por lo poco que costó la vigilancia. El equipo utilizó una herramienta propia, LLMKeyLens, que observa el tráfico de una app y extrae las credenciales al paso. Sin jailbreak ni descifrado de la aplicación.
La clave es el secreto que permite a la app llamar a un servicio como OpenAI o Google Gemini. Incrustarla en la app la expone con cada solicitud que la app realiza.
Tres tipos de fuga
Las 282 apps se dividieron en tres grupos:
- Claves en texto plano (54 apps): la clave se envía sin cifrar, legible en una sola solicitud capturada.
- Sin clave necesaria (92 apps): la app enruta las peticiones a través de un servidor que responde a cualquiera, sin verificar quién pregunta. Un relé abierto a una cuenta de IA de pago.
- Tokens reutilizables (136 apps, el más común): la app entrega tokens de acceso temporales en lugar de la clave original, un enfoque que se supone más seguro, pero los tokens se filtran en el mismo tráfico y solían seguir siendo válidos al ser capturados. Algunos no eran temporales en absoluto.
En 28 de las 54 apps con clave en texto plano, la misma solicitud también exponía el prompt del sistema oculto, las instrucciones internas que definen lo que hace el asistente y cómo funciona el producto. Una captura, dos premios.
Las filtraciones abarcan al menos diez proveedores de IA, siendo OpenAI el más común, y alcanzan 13 categorías de apps. Las apps de productividad fueron el grupo más grande; las de salud y fitness tuvieron la tasa de fuga más alta. Las apps de finanzas y medicina, notablemente, no filtraron nada. La mayoría de las apps afectadas eran pequeñas, pero no todas: una tenía más de dos millones de valoraciones de usuarios.
No es dinero teórico. Las claves de IA robadas alimentan una práctica que la industria llama LLMjacking, donde los atacantes ejecutan claves ajenas para obtener acceso gratuito a modelos. Sysdig calculó un escenario peor en el que las credenciales robadas podrían generar más de 46.000 dólares al día en cargos de IA.
Los investigadores notificaron a los 282 desarrolladores y esperaron tres meses. Solo el 28% lo había corregido claramente. Otro 23% seguía completamente abierto; el acceso filtrado funcionaba. El resto había desaparecido, se había vuelto inalcanzable o devolvía errores. Las apps con token solían ser las peores: una app popular, con más de 100.000 valoraciones, configuró su token de acceso para que caducara en el año 2125, un pase de cien años. El token de otra app, con una hora de validez, aún funcionaba 128 días después de haber expirado.
La solución y las recomendaciones
La solución son viejos consejos que pocos siguieron: no poner la clave en la app. Enrutar las llamadas de IA a través de tu propio servidor, hacer que ese servidor verifique quién llama y revocar cualquier clave que ya se haya filtrado.
Los investigadores también quieren que los proveedores de IA etiqueten las claves del lado del cliente como inseguras en su documentación y marquen las claves que de repente son usadas por miles de dispositivos, y quieren que Apple filtre esto durante la revisión de la App Store.
El patrón es conocido. Un estudio de 2025, LM-Scout, encontró el mismo cableado inseguro de IA en apps de Android y accedió automáticamente a 120 de ellas. Una auditoría más amplia, Leaky Apps, extrajo secretos de miles de apps de Android e iOS y descubrió que los desarrolladores no revocan las claves incluso después de eliminarlas, dejando las antiguas activas.
Otros han sondado el ecosistema más amplio de apps LLM en busca de agujeros similares. La fiebre de la IA no ha cambiado el hábito. Ha aumentado la factura, porque una clave filtrada ahora se cobra con el token.
Salvedad
Una salvedad: la cifra de dos tercios es un mínimo. Muchas apps bloquearon la interceptación por completo, y el estudio cubre solo la App Store de EE. UU. a finales de 2025, por lo que la tasa real es probablemente más alta.
