Secondo un'indagine di WIRED, oltre 400 app e siti web presentati come normali servizi IA sono risultati collegati a strumenti nascosti per generare immagini e video deepfake sessualmente abusivi. I servizi includevano app pubblicizzate per ritratti di animali domestici, apprendimento delle lingue e coaching fitness basato sull'IA.

Un esempio è l'app per ritratti di animali Viefur, che consentiva agli utenti di trasformare fotografie di animali in scene stilizzate. I ricercatori hanno scoperto che, in determinate condizioni, l'app poteva invece caricare un'interfaccia web che offriva modelli sessuali espliciti, inclusi scenari violenti, e strumenti per aggiungere fotografie caricate dall'utente ai contenuti generati.

Le app sembravano determinare da remoto se un utente avrebbe visualizzato le funzioni innocue pubblicizzate oppure l'interfaccia esplicita. Secondo Paul Bouchaud di AI Forensics, la decisione poteva tenere conto di informazioni come la provenienza dell'utente, la lingua e un identificativo univoco. Installare un'app dopo aver cliccato su una pubblicità su Facebook o Instagram sembrava essere uno dei possibili fattori che attivavano la visualizzazione dei contenuti nascosti.

I ricercatori hanno inoltre scoperto che i siti web associati potevano apparire vuoti pur ospitando ancora il livello esplicito utilizzato dalle app. Il loro codice conteneva dati di configurazione che collegavano numerosi domini e applicazioni, comprese chiavi di crittografia e tracker pubblicitari. Maël Le Touz, ricercatore sulle minacce presso Infoblox, ha identificato quasi 500 domini collegati che utilizzavano codice simile e facevano riferimento gli uni agli altri.

Secondo l'indagine, la rete ha iniziato a comparire verso la fine del 2025 e si è espansa rapidamente nella primavera del 2026. A un certo punto venivano registrate circa 30 app e siti web correlati ogni settimana. A settembre, 27 delle app erano disponibili su Google Play e avevano raggiunto oltre 350.000 download, con diverse classificate come adatte a tutte le età.

DiffAI, una delle app più scaricate, è stata creata nel dicembre 2025 e ha superato i 100.000 download su Google Play. Una recensione di un utente sosteneva che offrisse modelli per materiale di abuso sessuale su minori e altra pornografia senza verifica dell'età. Google ha rimosso DiffAI prima che WIRED chiedesse un commento e aveva già rimosso la maggior parte delle app individuate dall'indagine.

Apple ha rimosso 19 app, tra cui Viefur, dopo che WIRED aveva condiviso informazioni sull'attività e sui domini correlati. Il portavoce di Apple Adam Dema ha dichiarato che inizialmente le app rispettavano le regole dell'azienda, ma che in seguito i loro sviluppatori avevano modificato i siti web che fornivano i contenuti, sostituendo il materiale approvato con pornografia. Apple ha descritto la tattica come un'esca e sostituzione e ha affermato di aver sospeso decine di migliaia di app che utilizzavano metodi simili nell'anno precedente.

Le app e i siti web sembravano essere gestiti da sviluppatori di lingua cinese. I ricercatori hanno citato hosting cinese, commenti in cinese nel codice e filigrane di software di editing in lingua cinese nei video promozionali. I servizi utilizzavano informative sulla privacy generiche, account email gratuiti e nomi di sviluppatori poco noti, mentre gli annunci sulle piattaforme di Meta venivano spesso pubblicati sotto identità apparentemente false e da pagine senza follower.

Dall'inizio del 2026, i ricercatori hanno trovato decine di migliaia di annunci di deepfake espliciti collegati alla rete sui servizi di Meta. Gli annunci includevano contenuti raffiguranti minori, suscitando indagini da parte delle autorità di regolamentazione, e indirizzavano gli utenti verso app presenti negli store di Apple e Google, dove era possibile effettuare pagamenti tramite Apple Pay e Google Pay.

Una società registrata a Hong Kong, KeLing Technology Limited, compariva ripetutamente nell'infrastruttura e nelle informazioni di contatto della rete. Dopo che WIRED aveva chiesto un commento agli indirizzi email associati alla società e ai suoi servizi, alcuni riferimenti pubblici a KeLing sono stati rimossi o modificati. Meta ha dichiarato di aver vietato alla società di fare pubblicità nel 2025, dopo che non aveva rispettato una lettera di diffida e cessazione.

Dopo aver ricevuto da WIRED un elenco di oltre 400 domini, Meta ha dichiarato di aver identificato più di 3.000 annunci associati e di averne già rimosso circa due terzi. In seguito, l'azienda ha riferito di aver agito contro 11.600 account pubblicitari, oltre 4.700 pagine aziendali, 5.200 utenti e 15.000 pagine collegate ai domini, oltre ad aver bloccato 209 app dalla pubblicità sulle proprie piattaforme. App e annunci simili continuavano a essere pubblicati quando l'indagine si è conclusa.

Fonti: WIRED.