Se descubrió que más de 400 aplicaciones y sitios web presentados como servicios comunes de IA estaban conectados a herramientas ocultas para generar imágenes y videos deepfake de carácter sexualmente abusivo, según una investigación de WIRED. Entre los servicios había aplicaciones comercializadas para crear retratos de mascotas, aprender idiomas y recibir entrenamiento físico con IA.
Un ejemplo, la aplicación de retratos de mascotas Viefur, permitía a los usuarios convertir fotografías de animales en escenas estilizadas. Los investigadores descubrieron que, bajo ciertas condiciones, la aplicación podía cargar en su lugar una interfaz web que ofrecía plantillas sexuales explícitas, incluidos escenarios violentos, y herramientas para añadir fotografías subidas por los usuarios al contenido generado.
Las aplicaciones parecían determinar de forma remota si un usuario vería las funciones benignas anunciadas o la interfaz explícita. Según Paul Bouchaud, de AI Forensics, la decisión podía tener en cuenta información como el origen del usuario, su idioma y un identificador único. Instalar una aplicación después de hacer clic en un anuncio de Facebook o Instagram parecía ser uno de los posibles factores que activaban la visualización del contenido oculto.
Los investigadores también descubrieron que los sitios web asociados podían aparecer en blanco y, aun así, alojar la capa explícita utilizada por las aplicaciones. Su código contenía datos de configuración que vinculaban numerosos dominios y aplicaciones, incluidas claves de cifrado y herramientas de seguimiento publicitario. Maël Le Touz, investigador de amenazas en Infoblox, identificó casi 500 dominios conectados que utilizaban código similar y se referenciaban entre sí.
La red comenzó a aparecer hacia finales de 2025 y se expandió considerablemente en la primavera de 2026, según la investigación. En un momento dado, se registraban alrededor de 30 aplicaciones y sitios web relacionados cada semana. En septiembre, 27 de las aplicaciones estaban disponibles en Google Play y habían acumulado más de 350.000 descargas; varias estaban clasificadas como aptas para todas las edades.
DiffAI, una de las aplicaciones más descargadas, fue creada en diciembre de 2025 y superó las 100.000 descargas en Google Play. Una reseña de un usuario afirmaba que ofrecía plantillas de material de abuso sexual infantil y otra pornografía sin verificación de edad. Google retiró DiffAI antes de que WIRED solicitara comentarios y ya había retirado la mayoría de las aplicaciones identificadas por la investigación.
Apple retiró 19 aplicaciones, incluida Viefur, después de que WIRED compartiera información sobre la actividad y los dominios relacionados. El portavoz de Apple, Adam Dema, dijo que las aplicaciones habían cumplido inicialmente las normas de la empresa, pero que posteriormente sus desarrolladores cambiaron los sitios web que suministraban su contenido y sustituyeron el material aprobado por pornografía. Apple describió la táctica como un engaño de cebo y sustitución, y afirmó que había suspendido decenas de miles de aplicaciones que utilizaban métodos similares durante el año anterior.
Las aplicaciones y los sitios web parecían estar operados por desarrolladores de habla china. Los investigadores citaron alojamientos web chinos, comentarios en chino dentro del código y marcas de agua de software de edición en chino en videos promocionales. Los servicios utilizaban políticas de privacidad genéricas, cuentas de correo electrónico gratuitas y nombres de desarrolladores poco conocidos, mientras que los anuncios en las plataformas de Meta a menudo se publicaban bajo identidades aparentemente falsas y páginas sin seguidores.
Desde principios de 2026, los investigadores encontraron decenas de miles de anuncios explícitos de deepfakes vinculados a la red en los servicios de Meta. Los anuncios incluían contenido que representaba a menores, lo que provocó investigaciones de los reguladores, y dirigían a los usuarios a aplicaciones en las tiendas de Apple y Google, donde podían realizarse pagos mediante Apple Pay y Google Pay.
Una empresa registrada en Hong Kong, KeLing Technology Limited, aparecía repetidamente en la infraestructura y la información de contacto de la red. Después de que WIRED solicitara comentarios a direcciones de correo electrónico asociadas con la empresa y sus servicios, algunas referencias públicas a KeLing fueron eliminadas o modificadas. Meta dijo que había prohibido a la empresa anunciarse en 2025 después de que no cumpliera una carta de cese y desistimiento.
Después de recibir de WIRED una lista de más de 400 dominios, Meta dijo que había identificado más de 3.000 anuncios asociados y que ya había retirado aproximadamente dos tercios de ellos. Posteriormente, la empresa informó que había tomado medidas contra 11.600 cuentas publicitarias, más de 4.700 páginas empresariales, 5.200 usuarios y 15.000 páginas vinculadas a los dominios, además de bloquear 209 aplicaciones para que no se anunciaran en sus plataformas. Al concluir la investigación, todavía se seguían publicando aplicaciones y anuncios similares.
Fuentes: WIRED.