Le 2 novembre 2026, WIRED a publié une enquête montrant qu'un réseau de plus de 400 applications et domaines interconnectés dissimulait des outils de deepfake derrière des applications d'IA ordinaires — photos d'animaux, cours de langue, coaching sportif et services similaires. Apple a retiré 19 applications après que WIRED lui a communiqué ses conclusions, tandis que Google en avait déjà retiré la plupart auparavant. L'essentiel ne réside pas dans une application en particulier, mais dans le contournement d'un mécanisme de contrôle par une méthode consistant à « passer l'examen d'abord, changer le contenu ensuite » : ce que la boutique d'applications voyait n'était pas nécessairement ce que les utilisateurs finissaient par ouvrir.
La méthode de dissimulation : passer l'examen d'abord, changer le contenu ensuite
L'enquête décrit la méthode en trois étapes : l'application est soumise à l'examen avec une fonction inoffensive et semble conforme aux règles de la boutique ; après l'installation, elle envoie des informations telles que la langue, le canal d'origine et l'identifiant de l'appareil à un serveur distant, qui décide quelle version afficher ; et dans certaines conditions, l'application charge une interface web proposant des outils pour générer des images et des vidéos deepfake à partir de photos téléversées par les utilisateurs. Les chercheurs ont également trouvé un fichier JavaScript répertoriant des centaines d'applications et de domaines du réseau, ainsi que des clés de chiffrement et des traqueurs publicitaires. WIRED et les groupes de recherche ont remonté la piste des domaines jusqu'à une société enregistrée à Hong Kong, KeLing Technology Limited, qui, selon WIRED, n'a pas répondu aux demandes de commentaire ; cette attribution provient du reportage et des recherches des chercheurs, et n'a pas été confirmée par la société.
Les chiffres d'échelle proviennent également de cette enquête : en septembre 2026, les chercheurs ont trouvé 27 applications liées sur Google Play, totalisant plus de 350 000 téléchargements ; l'une d'elles, DiffAI, comptait plus de 100 000 téléchargements et a été retirée par Google avant que WIRED ne contacte l'entreprise. Un porte-parole d'Apple a déclaré que les applications étaient conformes aux règles lors de l'examen et que les développeurs avaient modifié après l'approbation le contenu web que les applications chargent. Meta a déclaré avoir pris des mesures contre 11 600 comptes publicitaires et bloqué la publicité de 209 applications liées. Les directives d'examen d'Apple, mises à jour le 16 octobre, traitent déjà des images intimes générées par l'IA sans consentement et des fonctionnalités cachées — mais le durcissement des règles n'a pas arrêté ce réseau.
Après les retraits, le problème n'est pas terminé
Le retrait de 19 applications n'a couvert que la partie nommée. Selon l'enquête, le réseau ajoutait environ 30 nouvelles paires application-site web par semaine à son apogée, et des publicités similaires apparaissaient encore au moment où l'enquête se terminait. Pour les utilisateurs, l'avertissement le plus pratique est le suivant : l'approbation dans une boutique d'applications ne signifie pas que tout ce qu'une application charge a été examiné, et les applications d'origine incertaine, aux descriptions vagues, qui demandent des photos personnelles méritent une prudence particulière. Les plateformes doivent désormais répondre à une question concrète : le remplacement de contenu côté serveur peut-il être détecté pendant le fonctionnement d'une application, plutôt qu'après une enquête de presse ? Marquer le contenu généré par l'IA pour le rendre reconnaissable est une autre voie déjà explorée, et l'article sur le filigrane textuel de Claude étendu à quatre modèles examine l'efficacité réelle d'un tel marquage et les moyens de le contourner.
