2026년 11월 2일, WIRED가 공개한 조사에 따르면 400개가 넘는 서로 연결된 앱과 도메인으로 이루어진 네트워크가 반려동물 사진, 언어 학습, 피트니스 지도 등 평범한 AI 앱 뒤에 딥페이크 도구를 숨기고 있었다. 애플은 WIRED로부터 정보를 전달받은 뒤 19개 앱을 삭제했고, 구글은 그전에 대부분을 이미 삭제했다. 핵심은 개별 앱이 아니라 '먼저 심사를 통과하고 나중에 내용을 바꾸는' 수법으로 심사 체계가 우회됐다는 점이다. 앱스토어가 본 것과 사용자가 최종적으로 여는 것이 반드시 같은 제품은 아니다.
숨기는 방법: 먼저 심사를 통과하고, 나중에 내용을 바꾼다
조사가 묘사한 수법은 세 단계다. 먼저 무해한 기능으로 심사에 제출해 스토어 규칙에 맞는 것처럼 보인다. 설치 후에는 언어, 유입 경로, 기기 식별자 등의 정보를 원격 서버에 보내고, 서버가 어느 화면을 보여줄지 결정한다. 조건이 맞으면 사용자가 올린 사진으로 딥페이크 이미지와 동영상을 만드는 도구를 담은 웹 화면을 불러온다. 연구진은 네트워크 내 수백 개 앱과 도메인, 암호화 키, 광고 추적기를 열거한 JavaScript 파일도 발견했다. WIRED와 연구 기관은 도메인 단서를 홍콩에 등록된 KeLing Technology Limited라는 회사로 추적했다. WIRED에 따르면 이 회사는 논평 요청에 응답하지 않았다. 이 귀속 판단은 보도와 연구진의 추적에 근거한 것으로, 회사 측의 확인은 얻지 못했다.
규모 수치도 이번 조사에서 나왔다. 2026년 9월 연구진은 Google Play에서 관련 앱 27개를 발견했고 누적 다운로드는 35만 건을 넘었다. 그중 DiffAI는 10만 건이 넘는 다운로드를 기록했고 WIRED가 구글에 연락하기 전에 삭제됐다. 애플 대변인은 앱들이 심사 당시에는 규칙에 부합했지만 개발자들이 승인 후 앱이 불러오는 웹사이트 내용을 바꿨다고 설명했다. Meta는 광고 계정 1만 1,600개에 조치를 취하고 관련 앱 209개의 광고를 차단했다고 밝혔다. 애플이 10월 16일 개정한 심사 가이드라인은 본인 동의 없는 AI 생성 사적 이미지와 숨겨진 기능을 이미 다루고 있지만, 규칙 강화가 이 네트워크를 막지는 못했다.
삭제 이후에도 문제는 끝나지 않았다
19개 앱 삭제는 지목된 부분에만 해당한다. 조사에 따르면 이 네트워크는 정점기에 주당 약 30쌍의 앱·웹사이트 쌍을 새로 추가했고, 조사가 마무리될 시점에도 비슷한 광고가 계속 등장했다. 사용자에게 더 실질적인 주의점은 이렇다. 앱스토어 심사 통과가 앱이 불러오는 모든 내용이 심사됐다는 뜻은 아니며, 출처가 불분명하고 기능 설명이 모호하며 개인 사진 업로드를 요구하는 앱은 특히 주의해야 한다. 플랫폼이 다음으로 답해야 할 질문은 구체적이다. 서버 측 내용 교체를 언론 조사 이후가 아니라 앱이 동작하는 중에 탐지할 수 있는가. AI 생성 콘텐츠에 식별 가능한 표시를 다는 방법도 이미 시도되고 있는 또 다른 길이며, Claude 텍스트 워터마크를 4개 모델로 확대 기사는 그 실제 효과와 우회 방법을 다룬다.
