Er dataene dine eksponert? Den mørke siden av AI-apper på Android som lagrer dataene dine i skyen

Sammenkoblingen av Android-apper, Kunstig intelligens og skyen har blitt selve kjernen i mange av verktøyene vi bruker daglig. På mobil. Fra bilde- og videoredigerere som genererer innhold med AI, til nettbaserte lagringstjenester eller automatiske sikkerhetskopier, går alt gjennom eksterne servere som behandler data og lagrer personlige filer.

Imidlertid, Den samme bekvemmeligheten innebærer reelle risikoer for personvern og sikkerhetKonfigurasjonsfeil i tjenester som Google Cloud Storage eller Firebase, sårbarheter i mye brukt programvare eller dårlig API-nøkkelhåndtering kan eksponere millioner av bilder, videoer, lydfiler og til og med private meldinger. Samtidig fortsetter det å dukke opp nye apper som utnytter AI i skyen eller til og med lokalt, noe som viser at Android er nå klar for å gå utover enkel lagring.

Skybaserte AI Android-apper: tilfellet med Video AI Art Generator & Maker

Et av de mest slående eksemplene på hva som kan gå galt med en Android-app som bruker AI i skyen Det er den fra Video AI Art Generator & Maker, en app for foto- og videoredigering og -generering som ble populær på Google Play takket være dens «magiske» funksjoner for å forvandle selfier til nesten filmatiske stykker.

Denne appen, tilgjengelig for Android og basert på kunstig intelligens-modeller lagret på eksterne servereDen lovet å forbedre videoer, generere bilder fra bunnen av og bruke kreative effekter med bare noen få trykk. Alt innhold gikk gjennom skyen: brukere lastet opp bilder, klipp og lyd, og behandlingen ble gjort på Google Cloud-infrastrukturen.

Problemet er det En feilkonfigurasjon av en Google Cloud Storage-bøtte gjorde alt dette innholdet eksponertIfølge Cybernews' undersøkelse krevde ikke lagringsbeholderen som ble brukt av appen noen autentisering, slik at alle som kjente eller oppdaget stien kunne fritt få tilgang til filene som var lagret der.

Som et resultat, En enorm mengde privat materiale ble eksponertDette inkluderte over 1,57 millioner brukeropplastede bilder, omtrent 385 000 videoer, rundt 2,87 millioner AI-genererte bilder, ytterligere 2,87 millioner AI-genererte videoer og over 386 000 lydfiler knyttet til kreasjonene eller redigeringene. Volummessig utgjorde dette omtrent 12 TB med multimediedata, omtrent tilsvarende millioner av lett tilgjengelige filer.

Det alvorligste problemet er at alt innholdet var tilgjengelig uten passord.Uten brukervalidering og uten noen detaljert tilgangskontroll. For en app som hadde klart å overstige en halv million nedlastinger på Google Play og hadde samlet positive anmeldelser, var den potensielle effekten enorm: personlige bilder, stemmer, intime videoer eller kreative prosjekter fullstendig eksponert.

Video AI Art Generator & Maker eies av Codeway Digital Hizmetler Anonim Sirketi...et privat selskap basert i Tyrkia som også opererer under navnet Deep Flow Software Services Fzco i De forente arabiske emirater. Og dessverre, Det var ikke første gang et av produktene deres hadde skapt overskrifter av sikkerhetsmessige årsaker..

Gjentatte feil: data lekket også i Chat & Ask AI

En annen AI-tjeneste knyttet til samme selskap, Chat & Ask AI-appenHan hadde allerede vært involvert i en lignende hendelse. I dette tilfellet var problemet ikke med Google Cloud Storage, men med en feilaktig konfigurasjon av Google Firebase, en plattform som er mye brukt for mobile backend-systemer.

En uavhengig forsker oppdaget at Chat & Ask AIs Firebase-database var dårlig sikretDette ga direkte tilgang til ekstremt sensitiv informasjon. Resultatet var at innholdet i omtrent 300 millioner meldinger generert av rundt 25 millioner brukere kunne sees – et vanvittig antall etter enhver personvernstandard.

Vi snakker om samtaler holdt med en AI-assistentder mange brukere utilsiktet deler personlige spørsmål, sensitive data, profesjonell informasjon eller til og med legitimasjon. Det faktum at alt dette er offentlig tilgjengelig er ikke bare et teknisk problem: det blir en stor juridisk risiko, spesielt under paraplyen til den europeiske GDPR.

Faktisk, personvernforordningen (GDPR) Det inkluderer bøter som kan nå 20 millioner euro eller opptil 4 % av selskapets årlige globale omsetning, avhengig av alvorlighetsgraden og volumet av de kompromitterte dataene. Saker som Chat & Ask AI eller Video AI Art Generator & Maker passer perfekt til den typen hendelser som regulatorer gransker nøye.

Etter at etterforskningen ble offentlig og flere forsøk på kontakt fra journalister, Selskapet endte opp med å stenge offentlig tilgang til skybøttene involvert i Video AI Art Generator & Maker-saken. Imidlertid mangler det fortsatt en detaljert teknisk uttalelse som forklarer hva som skjedde, hva som er rettet opp og hvilke tilleggskontroller som vil bli implementert for å forhindre en lignende lekkasje i fremtiden.

Cybersikkerhetseksperter er enige om at disse hendelsene fremhever et strukturelt problem.Mange utviklere prioriterer å lansere appen så raskt som mulig og fokuserer på brukeropplevelse og markedsføring, og lar infrastruktursikkerhet være en sekundær bekymring. Resultatet er at selv om en app har hundretusenvis av nedlastinger og positive anmeldelser, kan den skjule kritiske sårbarheter som eksponerer de digitale livene til millioner av mennesker.

Massive etterforskninger: Hemmeligheter lekket i AI-apper for Android

Utover spesifikke tilfeller, En storstilt undersøkelse utført av Cybernews analyserte økosystemet av AI-apper for Android Og resultatene var ikke akkurat oppmuntrende. Studien konkluderte med at 72 % av applikasjonene som ble gjennomgått inneholdt minst én «hemmelighet» innebygd i koden.

Med «hemmelig» mener vi API-nøkler, prosjektidentifikatorer, endepunkt-URL-er, tilgangstokener og andre data som, hvis de havner i gale hender, muliggjør misbruk av skytjenester. I gjennomsnitt lekket hver app 5,1 forskjellige hemmeligheter, og mest bekymringsfullt var at 81 % av dem var relatert til prosjekter som var hostet på Google Cloud.

Dette innebærer at Mange utviklere laster opp APK-ene sine til produksjon med innebygd legitimasjon, uten å rotere nøkler eller begrense tillatelser, noe som åpner døren for uredelig bruk av infrastrukturen, datatyveri eller til og med injeksjoner av ondsinnet kode gjennom legitime tjenester.

Hvis vi kryssrefererer dette med fremveksten av applikasjoner som kombinerer Android, AI og skyen – bildegeneratorer, samtaleassistenter, produktivitetsverktøy – er konklusjonen klar: Angrepsflaten er enorm, og sikkerhetskontrollene er ofte utilstrekkelige.Dessverre oppdager sluttbrukeren vanligvis ikke dette før lekkasjen allerede har oppstått.

WinRAR og skyen: en påminnelse om at risikoen ikke bare ligger i mobilapper

Selv om fokuset her er på Android-apper med AI som utnytter skyen, Det kan ikke overses at cyberangrep også er avhengige av klassisk skrivebordsprogramvare.Dette er veldig vanlig i selskaper som synkroniserer filer med skytjenester. Et illustrerende eksempel er det som skjedde med WinRAR.

I 2025, det populære filkomprimeringsverktøyet WinRAR ble offer for en svært sofistikert phishing-kampanje som utnyttet en nulldagssårbarhet. Sikkerhetsfirmaet ESET oppdaget at angripere brukte denne feilen til å skjule skadelig programvare i tilsynelatende harmløse .RAR-filer.

Trikset var at Da WinRAR dekomprimerte filen, viste det bare det legitime innholdet.Men samtidig pakket den ut andre skjulte komponenter uten at brukeren la merke til det. Disse inkluderte en skadelig DLL-fil i systemets midlertidige mappe og en LNK-fil i Windows-oppstartsmappen, noe som sikret at skadevaren var vedvarende selv etter at datamaskinen ble startet på nytt.

ESET forklarte at angrepet var basert på en banetraverseringsteknikk som utnytter alternative datastrømmer (ADS)Dette var relativt sjeldent, og noe mange antivirusprogrammer ikke kunne oppdage effektivt på den tiden. Resultatet: Tradisjonelle sikkerhetssystemer hadde problemer med å identifisere det som var blitt utsatt for sikkerhetsbrudd.

For organisasjoner som Disse komprimerte filene synkroniseres med skyløsninger. (Google Drive, Dropbox, OneDrive osv.), utvides angrepsvektoren: én skadelig fil kan reise fra en kompromittert PC til flere enheter og kontoer, inkludert Android-apper som er koblet til samme lagringsplass.

AI på Android uten å alltid være avhengig av skyen: Google AI Edge Gallery

Selv om mange Android-applikasjoner fortsatt er avhengige av eksterne servere for å kjøre språkmodeller og generative nettverk, Nåværende mobilmaskinvare begynner å tillate at noe av den AI-en kjører lokalt.Dette reduserer behovet for kontinuerlig tilkobling og begrenser for øvrig dataeksponeringen til skyen.

I den sammenhengen ser det ut til Google AI Edge-gallerietDet er en Android-app designet som et utstillings- og testmiljø for AI-modeller som kjører direkte på enheten. Den lastes ikke ned fra Play Store, men fra det offisielle GitHub-arkivet, og installerer en tradisjonell APK etter først å ha aktivert «ukjente kilder», sammen med apper fra produsenter som... Integrering av AI-agenter i Galaxy.

Tanken er at Brukeren kan teste modeller med åpen kildekode som er optimalisert for å kjøre på mobile enheteruten å delegere behandlingen til eksterne servere. Hovedskjermen viser eksempler levert av Google, med støtte for multimodal AI: tekst, bilde og andre kombinerte inndata.

Appen inneholder flere varianter av Gemma, Googles familie av lettvektsmodellerså vel som modeller som Alibabas Qwen og Nano-banan 2Disse modellene er SLM-er (små språkmodeller), mye mer kompakte enn tradisjonelle LLM-er, men tilstrekkelige for grunnleggende samtaleoppgaver, klassifisering, enkle sammendrag eller bildebeskrivelser.

Hvis brukeren ønsker å utforske de visuelle mulighetene, kan de bruke alternativet «Spør om bilde», som tillater send bilder til modellen som spesialiserer seg på visuell gjenkjenning For å få beskrivelser, etiketter eller svar relatert til det som vises på bildet. For mer tradisjonell bruk av chatboter tilbyr delen «AI Chat» modeller designet for generell dialog.

Det er imidlertid viktig å være klar over begrensningene: Ytelse og responskvalitet avhenger sterkt av enhetenOg disse lokale AI-ene oppnår ikke dybden eller kontekstuell nøyaktighet som store skybaserte modeller, som Gemini Advanced eller ChatGPT med utvidet tilgang til ny informasjon.

I tillegg, Google AI Edge Gallery er ikke ment å erstatte den fullstendige Google AssistantDen integrerer ikke dype søkefunksjoner, genererer ikke video eller komplekst audiovisuelt innhold, og fungerer ikke som en systemassistent slik Gemini er integrert i Android. Det er mer et teknisk «galleri» som demonstrerer at dagens mobiltelefoner allerede er i stand til å kjøre SLM rimelig bra.

Et interessant poeng er at Brukeren kan legge til sine egne modellerBare trykk på «+»-ikonet for å importere lokalt lagrede språkmodellfiler. Når de er indeksert, vises de sammen med resten i appens grensesnitt og kan kjøres offline, forutsatt at enheten har tilstrekkelig minne og prosessorkraft.

Denne hybride tilnærmingen, der deler av AI-en kjører lokalt og en annen del fortsetter å være avhengig av skyen, Det peker mot en fremtid der Android vil fordele arbeidsmengden bedre mellom enheten og serverne.De fulle LLM-ene må fortsatt kjøre problemfritt på mellomklassemobiler, men veien er ganske lagt ut.

Skyapper på Android: lagre, synkroniser og beskytt data

Utover rene AI-applikasjoner, Android har blitt den ideelle plattformen for å administrere personlige og profesjonelle filer fra skyen.De fleste tjenestene tilbyr en egen app på Google Play, med synkronisering mellom enheter og samarbeidsfunksjoner.

I dette tilfellet er det verdt å gjennomgå Hva kjennetegner en god skylagringsapp for Android?Dette er viktig både med tanke på bekvemmelighet og sikkerhet. Generelt sett ønsker brukere å laste opp sikkerhetskopier av bilder, videoer, dokumenter eller til og med hele apper, og kunne hente dem fra hvor som helst med en internettforbindelse.

En kvalitetstjeneste bør tilby en rimelig mengde ledig plass (minst 1 GB for sjeldne sikkerhetskopier, ideelt sett mye mer), rimelige utvidelsesalternativer og kompatibilitet med forskjellige datakategorier: bilder, dokumenter, applikasjonsdata, kalendere, kontakter osv.

Det er også viktig at appen tilbyr høye synkroniseringshastigheter, et enkelt grensesnitt og ekstrafunksjoner som offline redigering, deling av filer via passordbeskyttede lenker, en fleksibel mappestruktur og, viktigst av alt, et høyt nivå av databeskyttelse med kryptering og samsvar med forskrifter som GDPR.

Når det gjelder avansert sikkerhet, blir det stadig mer verdsatt at leverandøren implementerer ende-til-ende-kryptering, nullkunnskapsarkitektur og tofaktorautentisering (2FA)Dermed, selv om en angriper stjeler legitimasjon eller avlytter kommunikasjon, vil det være mye vanskeligere for dem å få tilgang til selve innholdet i filene.

Beste praksis: hvordan redusere risikoen ved bruk av Android-apper med AI og skyen

Gitt antallet hendelser og lekkasjer knyttet til apper som kombinerer Android, AI og skytjenester, Det er verdt å gjennomgå noen grunnleggende retningslinjer for å redusere risikoerenten du er sluttbruker eller applikasjonsutvikler.

Fra brukerens perspektiv er det fordelaktig Ikke stol utelukkende på antall nedlastinger eller stjernene på Google PlayFør installasjon er det lurt å gjennomgå tillatelsene appen ber om, personvernerklæringen, landet der dataene lagres, og om mulig sjekke om det har vært tidligere rapporter om sikkerhetshendelser knyttet til den utvikleren.

Det hjelper også separate tjenester i henhold til sensitiviteten til det du lagrerÅ laste opp tilfeldige bilder til en generell skytjeneste er ikke det samme som å lagre konfidensielle forretningsdokumenter eller svært sensitive personlige materialer. For sistnevnte kan det være lurt å bruke leverandører som fokuserer på ende-til-ende-kryptering eller til og med lokale krypteringsverktøy før du laster opp til skyen.

På utviklingssiden er lærdommen klar: ikke legg inn hemmeligheter i klientenImplementer streng tilgangskontroll for bøtter og databaser, bruk tjenesteroller med minimale tillatelser, aktiver logging og revisjon, og utfør regelmessig sikkerhetstesting. Hosting av AI i skyen innebærer håndtering av ekstremt verdifulle og sensitive data, og dårlig praksis vil til slutt få konsekvenser.

Til slutt, Android-apper som bruker skybasert AI tilbyr et enormt potensial for å opprette, samarbeide og automatisere oppgaver.De krever imidlertid at sikkerhet og personvern tas svært alvorlig. Med videogeneratorer, samtaleassistenter, skylagring og sikkerhetskopieringsløsninger har brukerne tilgang til et kraftig økosystem, forutsatt at de kombinerer de riktige verktøyene med et minimum av sunn dømmekraft og beste praksis.

Relatert artikkel:

Gemini tar spranget på Android: smartere apper og total automatisering på mobilen din

Alberto Navarro

Jeg er en teknologientusiast som har gjort sine "geek"-interesser til et yrke. Jeg har brukt mer enn 10 år av livet mitt på å bruke banebrytende teknologi og fikse med alle slags programmer av ren nysgjerrighet. Nå har jeg spesialisert meg på datateknologi og videospill. Dette er fordi jeg i mer enn 5 år har skrevet for forskjellige nettsteder om teknologi og videospill, og laget artikler som prøver å gi deg den informasjonen du trenger på et språk som er forståelig for alle.

Hvis du har spørsmål, spenner min kunnskap fra alt relatert til Windows-operativsystemet samt Android for mobiltelefoner. Og mitt engasjement er til deg, jeg er alltid villig til å bruke noen minutter og hjelpe deg med å løse eventuelle spørsmål du måtte ha i denne internettverdenen.