Coller une clé API en dur dans une app, c’est laisser ses clés sur le contact d’une voiture garée en centre-ville. Une étude de Wake Forest University a passé au crible des applications iOS bardées d’IA et le verdict pique : 282 sur 444 laissent fuiter des identifiants exploitables dans leur trafic réseau. Conséquence directe pour les développeurs et les services en backend : appels IA non autorisés, quota siphonné et facture qui gonfle.
Les chercheurs ont disséqué le trafic de 444 apps dotées de fonctions LLM (modèles de langage). Trois schémas reviennent : des clés API en clair, des tokens d’authentification réutilisables et des proxies backend accessibles sans le moindre contrôle d’accès. Dans l’échantillon, 54 apps exposaient des clés en texte brut, 136 crachaient des tokens et 92 ouvraient un accès backend non authentifié.
Points clés
- 282 apps iOS sur 444 dotées de fonctions LLM laissent fuiter des identifiants exploitables
- Trois failles types : clés API en clair (54), tokens réutilisables (136) et accès backend non authentifié (92)
- Risque concret : appels IA non autorisés, quota détourné et facturation gonflée pour les développeurs
- Seules 28 % des apps vulnérables ont corrigé le défaut après divulgation responsable
Un échantillon passé au crible
Le résumé publié par Help Net Security détaille la méthode : l’équipe est partie de plus de 38 000 fiches de l’App Store avant de resserrer le corpus à 444 applications dont les fonctions LLM étaient confirmées. Le défaut ne se cantonne pas à un coin de l’écosystème. Les apps touchées couvrent 13 catégories, dont la productivité, le divertissement, le lifestyle, l’éducation, les utilitaires et la santé.
Certaines des applications concernées pèsent lourd, avec des cas dépassant les centaines de milliers d’évaluations. Quand les clés circulent en clair, le trafic intercepté permet d’atteindre directement des services d’IA tiers, notamment des API d’OpenAI et d’autres fournisseurs de modèles.
« La fuite de clés API de LLM est un problème répandu et systémique dans l’écosystème iOS », écrivent les chercheurs de Wake Forest dans leur étude.
Quota détourné, facture salée
Le danger dépasse la simple exposition d’une clé. Une clé réutilisable ou un proxy backend sans authentification offre à n’importe quel tiers la possibilité d’utiliser le service d’IA au nom du développeur, de détourner son quota ou de gonfler la note. Et quand les clés ou les jetons restent valides longtemps, la fenêtre d’abus s’étire d’autant.
L’étude, relayée par The Hacker News, mentionne un suivi après divulgation responsable. Sur les applications vulnérables, 28 % auraient corrigé le tir dans le délai d’observation. Les autres restaient exploitables lors du re-test, faute de proxies backend protégés et d’implémentations de jetons dignes de ce nom.
- 444 apps iOS analysées avec fonctions LLM confirmées
- 282 apps exposant des identifiants ou mécanismes d’accès exploitables
- 54 apps avec clés API en clair
- 136 apps avec tokens d’authentification exposés
- 92 apps avec accès backend non authentifié
- 28 % de remédiation après divulgation
La morale tient en une ligne que tout développeur connaît mais oublie commodément : une clé API n’a rien à faire dans le binaire d’une app livrée à des centaines de milliers d’utilisateurs.
