Дослідження Cybernews виявило серйозну проблему безпеки в екосистемі Android більшість AI-додатків у Google Play містять секрети, які активно експлуатуються зловмисниками. У результаті відкритого доступу до хмарних сервісів уже витекло майже 730 терабайтів даних – сотні мільйонів файлів користувачів.
Масштаб проблеми: що показало дослідженняАналітики Cybernews проаналізували 1,8 млн Android-додатків у Google Play і виділили 38 630 застосунків, які прямо заявляють про використання штучного інтелекту. Дослідження показало, що 72% таких AI-додатків містять щонайменше один секрет із жорстким кодуванням у середньому – 5,1 секрету на застосунок причому понад 81% витоків пов’язані із сервісами Google Загалом було виявлено 197 092 унікальні секрети серед яких API-ключі, ідентифікатори хмарних проєктів та унікальні URL-адреси, безпосередньо вшиті розробниками в код застосунків.
Чому hardcoding – одна з найгірших практик
Hardcoding(жорстке кодування) секретів означає, що чутлива інформація зберігається прямо у вихідному коді застосунку. Це давно вважається критичною помилкою безпеки,
оскільки код можна декомпілювати й отримати доступ до ключів без зламу серверів.
У випадку AI-додатків це особливо небезпечно, адже вони часто працюють із хмарною інфраструктурою, платіжними сервісами та персональними даними.
Витоки вже активно використовуютьДослідники Cybernews встановили, що сотні AI-додатків на Android уже стали жертвами автоматизованих атак зокрема, 285 баз Firebase не мали жодної автентифікації що призвело до витоку 1,1 ГБ даних а у 42% випадків у базах були знайдені таблиці з назвою poc (proof of concept). Крім того, деякі з них містили фейкові адміністраторські акаунти з адресами на кшталт attacker@evil.com
Google Cloud і Firebase – головні джерела витоків
Понад 81% усіх виявлених секретів стосувалися сервісів Google Cloud дослідники зафіксували відкритий доступ до понад 200 млн файлів у Google Cloud Storage із сукупним обсягом витоку понад 720 ТБ що в середньому становить 1,55 млн файлів і 5,5 ТБ даних на один незахищений контейнер для зберігання даних у хмарі. Водночас були виявлені й витоки ключів інших сервісів, зокрема AWS а також маркетингових платформ,
власних бекендів і баз даних.
Чи є витоки з великих мовних моделейПопри побоювання щодо безпеки ШІ, витоки API-ключів великих мовних моделей трапляються відносно рідко за даними Cybernews, зафіксовано лише поодинокі випадки, здебільшого з низьким рівнем ризику. Навіть у разі компрометації таких ключів зловмисники зазвичай можуть лише надсилати нові запити, не отримуючи доступу до історії діалогів користувачів Найчастіше у витоках згадувалися API OpenAI Google Gemini та Claude
Android і iOS – однакова проблема
Cybernews наголошує: ситуація на Android не гірша, ніж на iOS У 2025 році дослідники перевірили 156 тис. iOS-додатків і знайшли понад 815 тис. жорстко закодованих секретів У середньому кожен iOS-додаток зливав 5,52 секрету здебільшого – знову ж таки пов’язані з Google Cloud.
Запис Android AI-додатки масово зливають секрети Google спершу з'явиться на Double.News.
