Araştırmacılar iPhone için 444 yapay zeka sohbet robotu uygulamasını test etti ve bunlardan 282'sinin, yani neredeyse üçte ikisinin, ağ trafiği üzerinden ücretli yapay zeka erişimini açığa çıkardığını buldu.
Çoğu durumda, giriş yolu yalnızca uygulamanın ne gönderdiği izlenerek görülebiliyordu: düz metinli bir API anahtarı, yeniden kullanılabilir bir belirteç veya istekleri hiçbir anahtar olmadan kabul eden bir arka uç sunucusu.
Onu alan kişi, geliştiricinin hesabına model istekleri gönderebilir ve geliştirici, faturayı öder. Araştırmacıların geliştiricileri uyarmasından üç ay sonra yalnızca %28'i sorunu düzeltti.
Wake Forest Üniversitesi'ndeki araştırmacıların gerçekleştirdiği çalışma, iOS'taki soruna ilişkin ilk derinlemesine çalışmadır. Kısmen, gözetlemenin ne kadar az çaba gerektirmesi nedeniyle dikkat çekicidir. Ekip, bir uygulamanın trafiğini izleyen ve geçerken kimlik bilgilerini çıkaran LLMKeyLens adlı kendi geliştirdikleri bir aracı kullandı. Jailbreak yok, uygulamayı kırmak yok.
Anahtar, uygulamanın OpenAI veya Google Gemini gibi bir hizmeti aramasını sağlayan sırdır. Bunu uygulamaya gömün ve uygulamanın yaptığı her istekte açığa çıkar.
282 kişinin tamamı üç gruptan birine girdi:
Düz metin anahtarları (54 uygulama): Anahtar, yakalanan tek bir istekten okunabilecek şekilde açık olarak gönderilir.
anahtar, yakalanan tek bir istekten okunabilecek şekilde açık olarak gönderilir. Anahtar gerekmez (92 uygulama): Uygulama, istekleri, kimin sorduğunu kontrol etmeden, herkese yanıt veren bir sunucu aracılığıyla yönlendirir. Ücretli bir AI hesabına açık geçiş.
uygulama, istekleri, kimin sorduğunu kontrol etmeden, herkese yanıt veren bir sunucu aracılığıyla yönlendirir. Ücretli bir AI hesabına açık geçiş. Tekrar oynatılabilir jetonlar (136 uygulama, en yaygın olanı): Uygulama, ham anahtar yerine geçici erişim jetonları dağıtır; bu daha güvenli olması gereken bir yaklaşımdır, ancak jetonlar aynı trafikte sızıyor ve genellikle yakalandıklarında hala geçerli oluyor. Aşağıdaki vakaların gösterdiği gibi bazıları hiç de geçici değildi.
Aynı istek, 54 düz metin anahtarlı uygulamanın 28'i için uygulamanın gizli sistem istemini, asistanın ne yaptığını ve ürünün nasıl çalıştığını tanımlayan perde arkası talimatlarını da ortaya çıkardı. Bir yakalama, iki ödül.
Sızıntılar, en yaygın olanı OpenAI olmak üzere en az on yapay zeka sağlayıcısını kapsıyor ve 13 uygulama kategorisine ulaşıyor. Verimlilik uygulamaları en büyük gruptu; sağlık ve fitness uygulamaları en yüksek sızıntı oranına sahipti. Özellikle finans ve tıbbi uygulamalar hiçbir şeyi sızdırmadı. Etkilenen uygulamaların çoğu küçüktü ancak hepsi değil: Bir tanesi iki milyondan fazla kullanıcı puanına sahipti.
Bu teorik para değil. Çalınan AI anahtarları, sektörün LLMjacking olarak adlandırdığı ve saldırganların ücretsiz model erişimi elde etmek için diğer insanların anahtarlarını çalıştırdığı bir uygulamayı besliyor. Sysdig, çalınan kimlik bilgilerinin yapay zeka masraflarının günde 46.000 dolardan fazla olabileceği en kötü senaryoyu hesapladı.
Araştırmacılar 282 geliştiricinin tamamını bilgilendirdi ve üç ay bekledi. Sadece %28'i sorunu açıkça düzeltmişti.
Diğer %23'lük kesim ise hâlâ tamamen açıktı; sızdırılan erişim çalışıyordu. Geri kalanı çevrimdışı olmuş, ulaşılamaz hale gelmiş veya hata döndürmüştü. Jeton uygulamaları genellikle en kötüleriydi: 100.000'den fazla derecelendirmeye sahip popüler bir uygulama, erişim jetonunun süresinin yüz yıllık bir geçiş olan 2125 yılında sona ermesini ayarladı.
Başka bir uygulamanın bir saatlik jetonu, süresi dolduktan 128 gün sonra hala çalışıyordu.
Çözüm, çok az kişinin uyguladığı eski bir tavsiye: Anahtarı uygulamaya koymayın. AI çağrılarını kendi sunucunuz üzerinden yönlendirin, sunucunun kimin aradığını kontrol etmesini sağlayın ve zaten sızdırılmış olan tüm anahtarları iptal edin.
Araştırmacılar ayrıca AI sağlayıcılarının istemci tarafı anahtarlarını belgelerinde güvensiz olarak etiketlemelerini ve aniden binlerce cihaz tarafından kullanılan anahtarları işaretlemelerini ve Apple'ın App Store incelemesi sırasında bunu taramasını istiyor.
Desen tanıdık. LM-Scout adlı 2025 tarihli bir çalışma, Android uygulamalarında aynı güvensiz yapay zeka bağlantılarını buldu ve bunların 120 tanesine otomatik olarak girdi. Daha büyük bir denetim olan Leaky Apps, binlerce Android ve iOS uygulamasından sırları topladı ve geliştiricilerin, anahtarları kaldırdıktan sonra bile rutin olarak iptal etmede başarısız olduklarını ve eski anahtarları çalışır durumda bıraktıklarını tespit etti.
Diğerleri benzer boşluklar için daha geniş LLM uygulama ekosistemini araştırdı. Yapay zekanın acelesi alışkanlığı değiştirmedi. Tasarıyı yükseltti,
çünkü sızdırılan bir anahtar artık jetonla ücretlendiriliyor.
Bir uyarı: üçte ikilik rakam bir zemindir. Pek çok uygulama müdahaleyi tamamen engelledi ve çalışma yalnızca 2025 sonlarında ABD App Store'u kapsıyor; dolayısıyla gerçek oran muhtemelen daha yüksek.
