هزاران اپلیکیشن هوش مصنوعی اندروید، میلیون‌ها کاربر را در معرض خطر قرار داده‌اند

افشای گسترده اطلاعات در اپلیکیشن‌های هوش مصنوعی

بررسی‌های اخیر روی ۱.۸ میلیون اپلیکیشن اندرویدی در فروشگاه گوگل پلی، یک واقعیت نگران‌کننده را آشکار کرده است. ۷۲ درصد از این اپ‌ها حداقل یک کلید یا شناسه حساس را در کد خود ذخیره کرده‌اند، به طوری که هر اپلیکیشن به طور میانگین ۵.۱ راز امنیتی را فاش می‌کند. این رویه، که به عنوان هاردکد کردن اسرار حساس شناخته می‌شود، یکی از بدترین شیوه‌های امنیتی در توسعه نرم‌افزار است.

• تعداد اپلیکیشن‌های بررسی‌شده: ۱.۸ میلیون
• درصد اپلیکیشن‌های دارای کلید حساس: ۷۲ درصد
• میانگین اسرار افشاشده در هر اپ: ۵.۱

نقش سرویس‌های Google Cloud در افشا

یافته‌ها نشان می‌دهد که بیش از ۸۱ درصد از این اسرار افشاشده، به سرویس‌های Google Cloud مربوط می‌شوند. این اطلاعات شامل کلیدهای API، شناسه‌های پروژه‌ها و آدرس‌های زیرساختی است. در نتیجه این نشت اطلاعات، پایگاه‌های داده ناامن Firebase و مخازن Google Cloud Storage، بیش از ۲۰۰ میلیون فایل حاوی اطلاعات شخصی کاربران را در دسترس عموم قرار داده‌اند. حجم این داده‌های افشاشده به حدود ۷۳۰ ترابایت می‌رسد.

«در این سطح از دسترسی، تهدید فقط نظری نیست و می‌تواند مستقیماً به سرقت پول و سوءاستفاده مالی منجر شود.»

سوءاستفاده فعال از ضعف‌های امنیتی

پژوهشگران هشدار می‌دهند که صدها اپلیکیشن هوش مصنوعی پیش‌تر به طور فعال مورد سوءاستفاده قرار گرفته‌اند. در ۴۲ درصد از پایگاه‌های داده افشاشده، جداولی با نام «poc» (مخفف proof of concept) مشاهده شده است که نشان‌دهنده آزمایش موفق نفوذ توسط مهاجمان است. در برخی موارد، حتی حساب‌های مدیریتی جعلی با ایمیل‌هایی مانند attacker@evil.com در دیتابیس‌ها ایجاد شده‌اند که حاکی از دسترسی غیرمجاز و کنترل مهاجمان است.

تهدیدهای فراتر از گوگل

علاوه بر سرویس‌های گوگل، کلیدهای مرتبط با AWS، متا، پلتفرم‌های بازاریابی، سرویس‌های پیام‌رسان و APIهای مالی نیز در کد اپلیکیشن‌ها شناسایی شده‌اند. کارشناسان به طور خاص درباره کلیدهای زنده Stripe هشدار می‌دهند. این کلیدها می‌توانند به مهاجمان اجازه دهند تا کنترل کامل زیرساخت پرداخت را به دست بگیرند، پول برداشت کنند، فاکتورهای جعلی صادر کنند یا حساب‌های کاربران را دست‌کاری کنند.

امنیت مدل‌های زبانی بزرگ

با این حال، بررسی‌ها نشان می‌دهد که کلیدهای API مدل‌های زبانی بزرگ مانند OpenAI، Gemini و Claude به ندرت در کد اپ‌ها افشا شده‌اند. حتی در صورت نشت این کلیدها، دامنه آسیب معمولاً محدودتر است، زیرا مهاجمان به مکالمات کاربران یا داده‌های ذخیره‌شده دسترسی ندارند.

ضعف ساختاری در توسعه نرم‌افزار

متخصصان معتقدند که مشکل اصلی تنها افشای داده نیست، بلکه ضعف ساختاری در بهداشت توسعه نرم‌افزار است. حجم بالای ارجاعات به زیرساخت‌های ابری حذف‌شده یا غیرفعال نشان می‌دهد که بسیاری از اپلیکیشن‌ها بدون پاک‌سازی یا بازبینی امنیتی منتشر می‌شوند. این وضعیت نه تنها شناسایی تهدیدها را دشوار می‌کند، بلکه فرصت‌های جدیدی را برای مهاجمان فراهم می‌آورد. این یافته‌ها تاکید می‌کنند که بحران امنیتی اپلیکیشن‌های هوش مصنوعی اندروید، به یک چالش گسترده و سیستماتیک در کل اکوسیستم این پلتفرم تبدیل شده است.