يكشف التحقيق أن عددًا كبيرًا من تطبيقات Android المتاحة على متجر Google Play تتعرض لثغرات خطيرة قد تكشف بيانات حساسة وأسرار خاصة، حيث ركز التحقيق على التطبيقات التي تدّعي امتلاك ميزات ذكاء اصطناعي، ووجد عيوبًا واسعة في إدارة البيانات تتجاوز أخطاء المطورين الفردية.

حجم التسريبات

فحص الباحثين 1.8 مليون تطبيق أندرويد وحددوا 38,630 تطبيقًا مدعومًا بالذكاء الاصطناعي، وراقبوا الأكواد الداخلية للكشف عن بيانات اعتماد مسربة وإشارات لخدمات سحابية. النتائج كانت صادمة: نحو 72% من التطبيقات التي تم تحليلها تحتوي على سر مدمج مباشرة في كود التطبيق، وبمعدل تسريب يقرب من 5.1 أسرار لكل تطبيق متأثر.

أسرار مدمجة في الكود

إجمالًا، تم تحديد 197,092 سرًا فريدًا، ما يوضح أن ممارسات الترميز غير الآمنة لا تزال منتشرة رغم التحذيرات. أكثر من 81% من الأسرار المكتشفة مرتبطة ببنية Google السحابية، مثل معرفات المشاريع ومفاتيح API وقواعد بيانات Firebase وأحواض التخزين. تم رصد 26,424 نقطة نهاية لجوجل كلاود مدمجة في الأكواد، ومع ذلك كان حوالي ثلثيها مرتبطًا ببنية تحتية لم تعد موجودة، بينما تبقى 8,545 أحواض تخزين لا تزال موجودة وتستوجب مصادقة، إضافة إلى مئات أخرى مضبوطة بشكل خاطئ ومفتوحة للعامة، ما قد يعرض أكثر من 200 مليون ملف، بإجمالي يصل إلى نحو 730 تيرابايت من بيانات المستخدمين.

قواعد بيانات غير محمية

اكتشف الباحثون 285 قاعدة Firebase بدون أي ضوابط مصادقة، تسربت منها ما لا يقل عن 1.1 جيجابايت من بيانات المستخدمين. في 42% من هذه القواعد، وجدت الباحثون جداول كمثال على المفهوم، وهو ما يشير إلى اختراق سابق من قبل مهاجمين. كما احتوت قواعد أخرى على حسابات إدارية مرتبطة بعناوين بريد إلكتروني بأسلوب المهاجم، ما يدل على أن الاستغلال كان قائمًا بالفعل وليس نظريًا. الكثير من هذه القواعد ظلت غير محمية رغم وجود علامات واضحة على التسلل، ما يشير إلى ضعف المراقبة أكثر من مجرد خطأ عشوائي.

مفاتيح الذكاء الاصطناعي وأدوات الدفع

رغم القلق حول ميزات الذكاء الاصطناعي، كانت مفاتيح واجهات برمجة التطبيقات للنماذج اللغوية الكبيرة نادرة نسبيًا، وظهرت فقط بعض المفاتيح المرتبطة بمزودي خدمات رئيسيين مثل OpenAI وGoogle Gemini وClaude. في الإعدادات المعتادة، تسمح هذه المفاتيح للمهاجمين بإرسال طلبات جديدة، لكنها لا تمنح وصولًا إلى المحادثات المخزنة أو المطالبات السابقة أو الردود السابقة. كانت أخطر الثغرات مرتبطة بالبنية التحتية للدفع المباشر، مثل مفاتيح Stripe المسربة التي تمنح السيطرة الكاملة على أنظمة الدفع، وكذلك بيانات اعتماد أخرى تتيح الوصول إلى منصات الاتصالات والتحليلات وبيانات العملاء، مما يسمح بانتحال هوية التطبيقات أو استخراج البيانات دون إذن.