Miles de apps Android con IA están filtrando claves secretas de Google

applicantes | 2 febrero, 2026 | 0 comentarios

Un estudio publicado recientemente por Cybernews ha puesto de relieve un problema de seguridad extendido en el ecosistema Android: una gran parte de las aplicaciones que integran funciones de inteligencia artificial están filtrando detalles sensibles directamente en su código.

Para el análisis, los investigadores examinaron 1,8 millones de herramientas disponibles en Google Play y seleccionaron un conjunto de 38.630 apps que mencionaban explícitamente el uso de IA en sus descripciones o funcionalidades.

Los resultados muestran que el 72% contenía al menos un secreto en su código, como claves de API, identificadores de proyecto, tokens de acceso o credenciales de servicios externos.

De media, cada aplicación filtraba 5,1 secretos. Más del 81% de estos datos estaban relacionados con servicios de Google Cloud, incluyendo API keys, project IDs y endpoints, lo que supone un riesgo directo para la infraestructura de los desarrolladores y para los datos almacenados en ella.

El informe también destaca que no se trata solo de un riesgo potencial. Los investigadores encontraron cientos de aplicaciones con instancias de Firebase y Google Cloud Storage expuestas públicamente, muchas de las cuales ya habían sido comprometidas por terceros.

Más de 200 millones de archivos

En total, se localizaron más de 200 millones de archivos expuestos, lo que equivale a cerca de 730 terabytes de datos, incluyendo información de usuarios, contenidos multimedia y otros datos sensibles.

Entre los secretos detectados también se encontraron credenciales vinculadas a servicios financieros, como claves de pasarelas de pago, sistemas de facturación y plataformas de monetización. Este tipo de exposición podría permitir a atacantes generar cargos fraudulentos, emitir reembolsos no autorizados, manipular suscripciones o consumir recursos de pago de los desarrolladores.

Aunque muchas de las claves filtradas se clasificaron como de bajo riesgo, el estudio señala que una proporción significativa sí permite accesos no autorizados a infraestructura crítica. En varios casos, las credenciales permitían operaciones de lectura y escritura en bases de datos o almacenamiento en la nube, lo que amplía considerablemente el impacto potencial de una explotación.

Curiosamente, el informe subraya que las claves más expuestas no suelen pertenecer a proveedores de modelos de lenguaje o servicios específicos de IA, sino a servicios de backend, cloud y analítica. Esto sugiere que el problema no está directamente en la tecnología de inteligencia artificial, sino en prácticas de desarrollo inseguras que se repiten en aplicaciones móviles, especialmente el uso de secretos incrustados en el código cliente en lugar de gestionarlos desde servidores seguros.

Acerca de
Artículos recientes

applicantes

Applicantes.com es la primera web de información diaria en español centrada en el mundo de las aplicaciones móviles (para todas las plataformas), web y otros tipos de apps.