Un estudio empírico realizado a 444 aplicaciones gratuitas de iOS en la App Store de EE. UU. reveló que el 64% (282 aplicaciones) filtran credenciales de API de modelos de lenguaje extenso (LLM) a través del tráfico de red. Esta vulnerabilidad expone a los desarrolladores a un abuso a gran escala de sus cuentas de LLM y recursos en la nube.

Las aplicaciones de iOS impulsadas por IA están filtrando cada vez más credenciales de la API de modelos de lenguaje extenso (LLM) a través del tráfico de red, exponiendo a los desarrolladores a un abuso a gran escala de sus cuentas de LLM y recursos en la nube.

Un estudio empírico reciente de 444 aplicaciones gratuitas de iOS con funciones de LLM de la App Store de EE. UU. reveló que 282 de ellas, o el 64%, filtraron credenciales de LLM explotables cuando se interceptó su tráfico durante el uso normal.

Estas aplicaciones vulnerables abarcan 13 categorías e incluyen tanto herramientas especializadas como aplicaciones muy populares con más de dos millones de valoraciones de usuarios, lo que demuestra que la filtración de credenciales es un problema generalizado del ecosistema y no un caso aislado.

Las aplicaciones de IA en iOS filtran credenciales de LLM

Para mapear sistemáticamente esta amenaza, los investigadores crearon un marco de análisis dinámico llamado LLMKeyLens que observa las aplicaciones de iOS en tiempo de ejecución en lugar de depender del análisis binario estático.

Los evaluadores instalaron cada aplicación en dispositivos físicos, dirigieron el tráfico a través de un proxy de ataque de hombre en el medio (MITM) y utilizaron un certificado raíz personalizado para descifrar los flujos HTTPS; luego, activaron las funciones de IA de la aplicación con prompts controlados.

Los investigadores identificaron las credenciales expuestas haciendo coincidir patrones específicos del proveedor en el tráfico de red y validándolas de forma segura con solicitudes benignas para confirmar el acceso activo a los servicios de LLM.

El estudio de la Universidad de Wake Forest identificó tres patrones principales de filtración de credenciales, todos los cuales fueron claramente observables en las capturas de tráfico de red.

El primero y más directo implica claves de API en texto plano: 54 aplicaciones enviaron claves estáticas de proveedores de LLM directamente en las cabeceras HTTP o cadenas de consulta a endpoints como api.openai.com o generativelanguage.googleapis.com.

En muchos de estos casos, la misma solicitud también transportaba prompts de sistema confidenciales, lo que significa que una sola interceptación podría revelar tanto una clave reutilizable como la lógica de negocio propietaria que impulsa el comportamiento de la IA de la aplicación.

El segundo patrón reveló 92 aplicaciones que utilizan proxies de backend pero no requieren ninguna autenticación en esos endpoints, creando efectivamente relevos de LLM no autenticados que cualquier persona puede llamar una vez que conoce la URL y el esquema JSON básico.

El tercer patrón, y el más común, involucra JSON Web Tokens (JWT): 136 aplicaciones filtraron tokens de portador utilizados para autenticarse contra backends intermedios, y muchos de esos tokens seguían siendo lo suficientemente válidos como para ser reproducidos y mantener el acceso a la inferencia.

Los investigadores encontraron fallos críticos en la gestión de tokens JWT, incluyendo la falta de fechas de expiración, tokens válidos por hasta 100 años y servidores que aceptaban tokens ya expirados.

Incluso donde los desarrolladores intentaron seguir patrones de "tokens de corta duración", la aplicación débil de estas medidas los degradó efectivamente de nuevo a secretos estáticos.

En el lado defensivo, solo 143 de las 444 aplicaciones implementaron alguna forma de resistencia a la interceptación, y la protección más común para evadir el proxy HTTP del sistema fue derrotada en el 81% de los casos una vez que los investigadores cambiaron a una captura de tráfico transparente basada en VPN.

Las defensas robustas de múltiples capas, como el cifrado de carga útil personalizado y los controles anti-depuración, eran raras pero significativamente más difíciles de evadir.

Noventa días después de la divulgación responsable, solo 78 de las 282 aplicaciones afectadas mostraron evidencia clara de remediación, mientras que 66 permanecieron explotables con poco o ningún cambio.

Algunos desarrolladores revocaron claves o reforzaron la autenticación del backend, pero otros eliminaron o abandonaron los servicios en lugar de corregir adecuadamente sus integraciones.

En general, los hallazgos sugieren que la integración segura de LLM en iOS está muy por detrás de su adopción: los desarrolladores frecuentemente incrustan o exponen indirectamente las credenciales, los proveedores aún permiten patrones inseguros en el lado del cliente y las plataformas de aplicaciones aún no examinan sistemáticamente la filtración de secretos relacionados con la IA.

Fuentes:
https://cybersecuritynews.com/ai-ios-apps-leaking-llm-credentials/