Le magazine WIRED a publié le 2 novembre 2026 une enquête sur un réseau de plus de 400 applications et sites web qui se présentaient comme des services ordinaires (retouche de photos d'animaux, apprentissage des langues, coaching sportif par IA) mais qui pouvaient, dans certaines conditions, charger une interface cachée de création d'images et de vidéos sexuelles à partir de photos envoyées par l'utilisateur. Ce type de contenu, appelé « deepfake » (une image ou une vidéo truquée par IA pour montrer une personne dans une situation fictive), est ici créé sans le consentement des personnes représentées. L'enquête s'appuie sur le travail de l'ONG européenne AI Forensics. Après les questions de WIRED, Apple a retiré 19 applications de son App Store.
Comment les applications échappaient aux contrôles
D'après les comptes rendus de l'enquête repris par IBTimes Australie et 9to5Mac, les applications paraissaient inoffensives lors de la vérification par les magasins d'applications. Un appel à un serveur distant, effectué à chaque installation, décidait ensuite de ce que l'utilisateur voyait : la version banale ou la version cachée. Ce choix dépendait notamment du pays, de la langue et d'un identifiant propre à l'appareil.
Un déclencheur apparent était l'installation après un clic sur une publicité pour ces fonctions de deepfake diffusée sur Facebook ou Instagram. Les utilisateurs pouvaient alors télécharger des modèles de scènes explicites et acheter des crédits pour générer des contenus ; les paiements passaient par les systèmes d'Apple et de Google. Selon IBTimes, certains modèles représentaient des violences sexuelles. Un exemple cité est l'application Viefur, présentée comme un moyen d'habiller des animaux de compagnie.
Ce que disent les chiffres
Le chercheur Paul Bouchaud, d'AI Forensics, a analysé le code des applications et la date d'enregistrement des domaines. Un chercheur de l'entreprise de cybersécurité Infoblox a, de son côté, relevé près de 500 domaines rattachés au réseau. AI Forensics a repéré l'opération début septembre ; à un moment, environ 30 nouveaux sites d'applications étaient enregistrés chaque semaine.
En septembre, 27 de ces applications étaient en ligne sur Google Play, avec plus de 350 000 téléchargements cumulés. Le réseau publiait des applications depuis environ un an et serait lié, selon les chercheurs, à des développeurs sinophones et à une société immatriculée à Hong Kong. Ces éléments d'attribution viennent des enquêteurs et n'ont pas fait l'objet d'une décision de justice.
| Acteur | Réaction rapportée |
|---|---|
| Apple | 19 applications retirées après contact de WIRED ; Apple affirme que les applications respectaient les règles à la validation, puis que leurs développeurs ont changé le contenu chargé depuis des sites web |
| La plupart des applications avaient déjà été supprimées avant la sollicitation de WIRED | |
| Meta | Action contre plus de 10 000 comptes publicitaires liés au réseau (11 600 selon IBTimes) et 15 000 pages |
Un problème de contrôle plus que de technique
Le cas illustre une faiblesse connue des magasins d'applications : une application validée peut changer de comportement après coup, sans nouvelle mise à jour visible, puisque son contenu provient d'un serveur que les développeurs contrôlent. Selon IBTimes, les chercheurs avertissent que des publicités et applications similaires continuent d'apparaître, signe possible de tentatives de contourner les mesures en place. La ville de San Francisco a par ailleurs engagé une démarche pour obliger Apple et Google à retirer des dizaines d'applications de « déshabillage » par IA, d'après le même article.
Ce que cela change pour les utilisateurs et les entreprises
Pour un particulier, le premier réflexe est de se méfier d'une application banale qui demande l'accès à ses photos sans lien évident avec sa fonction. Il est aussi prudent de ne pas installer une application à partir d'une publicité, surtout si la promesse affichée diffère de la fiche officielle. Les parents peuvent vérifier les applications installées sur les téléphones de leurs enfants.
Pour une entreprise, le risque est double. D'une part, des salariés peuvent installer ce type d'application sur un téléphone professionnel. D'autre part, des photos de collaborateurs ou de clients, publiées en ligne, peuvent servir de matière première à des deepfakes. Une politique claire sur les applications autorisées, un rappel de la procédure pour signaler un contenu truqué aux plateformes et, si besoin, un dépôt de plainte, font partie des mesures de base.
À retenir
- WIRED a révélé le 2 novembre 2026 un réseau de plus de 400 applications et sites qui masquaient des outils de deepfakes sexuels derrière des fonctions banales.
- Le contenu affiché dépendait d'un serveur distant, ce qui permettait de passer les vérifications des magasins puis d'activer la fonction cachée.
- Apple a retiré 19 applications, Google en avait supprimé la plupart, et Meta a agi contre des milliers de comptes publicitaires ; d'autres applications similaires continuent d'apparaître selon les chercheurs.
- Se méfier des applications installées via une publicité et des demandes d'accès aux photos sans lien avec la fonction annoncée reste la protection la plus simple.
Sources
- Hundreds of Mundane AI Apps Are Hiding Sexually Abusive Deepfake Features — WIRED, 2 novembre 2026
- Hundreds of Innocent-Looking AI Apps Secretly Hid Sexual Deepfake Tools, Researchers Find as Apple Pulls 19 — International Business Times Australie, 3 novembre 2026
- AI apps with hidden sexual and violent deepfake features made it into the App Store — 9to5Mac, 2 novembre 2026