App Store : 380 millions de messages de chatbot exposés, le jardin clos prend l’eau

Le 20 janvier 2026Firehound, le dépôt public de CovertLabs, répertoriait 198 apps iOS liées à des bases de données ou des fichiers mal protégés. Une fiche associe à Chat & Ask AI by Codeway l’historique de plus de 18 millions d’utilisateurs et 380 millions de messages.

Le problème ne vient pas d’un modèle d’intelligence artificielle qui aurait soudain décidé de bavarder. Il concerne la façon dont certaines applications stockent les messages, les profils et les fichiers sur leurs serveurs. Une app peut être téléchargée depuis l’App Store et envoyer ses données vers une base distante mal protégée.

Le vrai sujet n’est pas l’IA qui répond, mais le serveur qui conserve.

Le jardin clos ouvre une fenêtre

Firehound est un dépôt public piloté par CovertLabs. Il répertorie des applications iOS dont les données semblent avoir été exposées à cause d’une configuration défaillante ou d’une protection insuffisante. Le registre ne concerne pas uniquement l’intelligence artificielle, même si plusieurs apps IA figurent parmi les cas les plus visibles.

À cette date, 198 applications apparaissent dans le dépôt. Ce nombre décrit le périmètre du registre, pas l’ensemble de l’App Store. L’exemple le plus lourd concerne Chat & Ask AI by Codeway : CovertLabs lui associe plus de 406 millions de fichiers et d’enregistrements exposés.

Le chiffre qui ne tient pas dans une notification

La fiche associe ces éléments à l’historique de conversations de plus de 18 millions d’utilisateurs, pour un total annoncé de 380 millions de messages. Les 406 millions d’éléments ne correspondent donc pas à 406 millions de personnes. Ils peuvent inclure des messages, des métadonnées et des informations de compte.

La distinction ne rend pas le dossier anodin. Un historique de chatbot peut contenir des demandes personnelles, des informations professionnelles ou des détails qu’un utilisateur n’aurait jamais publiés sur un réseau social. Le risque se mesure au contexte accumulé dans les conversations, pas au seul nombre de téléchargements.

406 millions de traces, le chatbot sort du placard

Firehound ne met pas les fichiers exposés à la disposition de n’importe quel visiteur. Le dépôt présente les structures de données et les informations utiles à l’analyse, mais l’accès aux éléments détaillés demande une inscription. Les demandes d’accès sont examinées manuellement, avec une priorité donnée aux professionnels de la sécurité et aux services chargés de faire respecter la loi.

Le projet affiche aussi une procédure de divulgation responsable. Les développeurs des apps référencées peuvent contacter CovertLabs pour obtenir des indications et corriger le problème. La page consacrée à une application peut ensuite être retirée lorsque la situation est traitée. On est loin du grand bazar où chacun télécharge les données des autres pour faire son petit marché.

Cette méthode change la lecture du dossier. Firehound ne décrit pas une nouvelle faille de l’intelligence artificielle elle-même. Il montre plutôt qu’une app peut reposer sur un code défaillant ou une politique de sécurité laxiste. Le ver est dans l’implémentation, pas dans le mot « IA » affiché sur l’icône.

App Storecoffre-fort ou simple vitrine?

La présence d’une application dans l’App Store rassure sur son canal de distribution, mais elle ne permet pas de vérifier d’un coup d’œil la configuration de chaque serveur utilisé par l’éditeur. Une app peut fonctionner correctement sur l’iPhone tout en envoyant les conversations vers une base distante mal protégée.

Cette séparation entre l’interface et le backend explique pourquoi le problème est difficile à repérer. L’utilisateur voit une fenêtre de chat, un bouton d’envoi et une réponse générée. Il ne voit pas les règles d’accès à la base ni les conditions dans lesquelles l’éditeur conserve les conversations.

Le badge Apple n’est pas un contrat de confidentialité signé avec le serveur de l’éditeur. Cette nuance évite de confondre le jardin clos de l’iPhone avec les infrastructures de toutes les apps qui y entrent. Le contrôle de la porte ne garantit pas que chaque pièce derrière soit bien verrouillée.

Le prompt qui finit en fuite

Les utilisateurs adoptent un réflexe nouveau : ils parlent aux services IA comme à des assistants disponibles en permanence. Ils leur confient un texte à réécrire, une situation professionnelle à analyser ou une question personnelle. Cette confiance augmente la valeur des historiques stockés et l’intérêt d’une mauvaise configuration pour les personnes qui cherchent des données exploitables.

Un autre incident rappelle que le danger ne vient pas toujours d’une base exposée. En décembre 2025, une nouvelle variante d’Atomic macOS Stealer a utilisé des annonces dans les résultats de recherche pour des requêtes liées à la libération d’espace sur macOS. Les victimes étaient orientées vers des conversations partagées de ChatGPT ou de Grokpuis guidées vers des étapes qui finissaient par infecter leur Mac et exfiltrer leurs données.

Le mécanisme n’est pas le même que celui décrit par Firehound, mais le point commun est net : le contenu produit ou stocké par une IA peut devenir un levier d’attaque. Un lien présenté comme une réponse technique n’est pas sûr parce qu’il apparaît dans une conversation de chatbot. Même le fan absolu de l’automatisation doit garder un doigt sur le bouton pause.

Trois réflexes, zéro cape d’invisibilité

1. Avant l’installation, regardez l’éditeur et la politique de confidentialité. Vérifiez ce que l’app collecte, ce qu’elle conserve et si elle explique clairement le traitement des conversations. Une description pleine de promesses IA ne remplace pas ces informations.
2. Pendant l’utilisation, réduisez la précision des données sensibles. Remplacez les noms, masquez les numéros de contrat et retirez les pièces jointes confidentielles. Une demande moins détaillée peut suffire à obtenir une réponse sans exposer toute l’histoire.
3. Après un doute, changez les secrets réutilisés et contactez l’éditeur. Si un mot de passe, une clé ou un document a été envoyé dans une app suspecte, considérez-le comme compromis. Supprimer une conversation dans l’interface ne prouve pas que toutes les copies distantes ont disparu.

Le cas Firehound remet une limite simple au centre du débat : une application IA n’est pas automatiquement digne de confiance parce qu’elle est bien présentée, populaire ou disponible sur l’App Store. Le téléchargement peut être validé en quelques secondes; la confidentialité, elle, se joue dans les serveurs que l’on ne voit jamais. Le jardin clos a une porte. Reste à savoir qui possède les clés.