Un’app che fa ritratti al gatto resta un’app che fa ritratti al gatto soltanto finché il suo server glielo dice. Il 2 novembre Matt Burgess ha raccontato su Wired una rete di oltre 400 fra app e siti che si presentavano come editor di foto per animali, insegnanti di lingue e allenatori di fitness. A comando, quelle stesse app mostravano un’interfaccia nascosta per generare deepfake sessuali, cioè immagini false ma realistiche in cui il volto di una persona vera finisce in una scena pornografica che non ha mai girato. La rete l’hanno trovata i ricercatori di AI Forensics, un’organizzazione che studia il comportamento delle piattaforme, insieme alla società di sicurezza Infoblox.
Il meccanismo è la parte che conta, e non ha niente di sofisticato. All’installazione l’app manda al server la posizione, la lingua, l’identificativo del dispositivo e il percorso da cui l’utente è arrivato. Il server legge quei dati e decide se restituire la versione innocua o quella vera. Uno dei segnali che accendono l’interfaccia nascosta è aver installato l’app dopo aver cliccato un’inserzione su Facebook o Instagram.
Le cifre dicono quanto è durata. A settembre 27 app della rete erano attive su Google Play con più di 350.000 download complessivi, molte classificate come adatte a tutte le età, e DiffAI, creata a dicembre 2025, ha superato da sola i 100.000 download. I primi domini sono comparsi a fine 2025, e in primavera se ne registravano circa trenta a settimana. Il 17 ottobre l’App Store ha aggiornato le regole su strumenti nudify e pratiche bait-and-switch, cioè le app che si fanno approvare mostrando una cosa e poi ne offrono un’altra.
Il portiere che controlla i documenti e non entra mai dentro
Apple ne ha rimosse 19, fra cui Viefur, quella dei ritratti agli animali domestici. Meta, dal suo canto, ha risposto con l’elenco di quello che ha cancellato, e l’elenco è lungo. Più di 3.000 inserzioni collegate a quei domini, due terzi delle quali già rimosse. Provvedimenti contro 11.600 account pubblicitari, oltre 4.700 pagine business, 5.200 utenti e 15.000 pagine. E 209 app escluse dalla pubblicità sulle sue piattaforme. KeLing Technology Limited, la società registrata a Hong Kong che dai domini risulta dietro la rete, era già stata esclusa dalla pubblicità nel 2025, dopo aver ignorato una diffida. Le inserzioni giravano comunque, sotto nomi di inserzionisti inventati come Draftmondcreldbro Duhustepre. Paul Bouchaud, il ricercatore di AI Forensics che ha guidato l’analisi, descrive la rete come un’operazione commerciale organizzata, con centinaia di app usa e getta disegnate per passare la revisione.
La difesa di Apple è il punto in cui il portiere ammette di non aver mai messo piede nell’appartamento. L’azienda ha dichiarato che le app rispettavano le regole al momento della revisione, e che gli sviluppatori hanno cambiato dopo i siti da cui l’app prendeva i contenuti. È vero. Ed è esattamente il problema: la revisione fotografa l’app in un istante, e l’app continua a chiedere istruzioni fuori.
Non serve cercare una spiegazione straordinaria. Serve un negozio che controlla una volta sola, un server che cambia pagina quando vuole e una piattaforma pubblicitaria che vende visibilità a chi paga con un nome falso. Google, interpellata, ha dichiarato di avere già rimosso le app del report e di averne sospese altre centinaia: la stessa risposta di ogni volta, e ogni volta dopo che il lavoro l’ha fatto qualcun altro. All’inizio dell’anno le app nudify trovate sui due negozi erano 38, con 483 milioni di download e 122 milioni di dollari di ricavi.
Di volti presi in prestito dall’IA per spacciarsi per qualcun altro avevamo scritto con i finti medici, e delle inserzioni truffa che Meta dice di aver dimezzato c’è il precedente delle cause contro chi usava i volti delle celebrità.
Quattrocento app hanno passato due revisioni fatte dalle aziende più ricche del mondo. Non è un buco nei controlli: è il controllo che funziona come è stato progettato, e il progetto prevede di guardare una volta sola.
Immagini: AI Forensics, Digital Trends.
