אפליקציה שהופכת את החתול שלכם לדיוקן בחולצה הוואית. נשמע תמים לגמרי, ודווקא בגלל זה היא עברה את הבדיקה של Apple. תחקיר של WIRED שפורסם ב-2 בנובמבר חשף רשת של יותר מ-400 אפליקציות ואתרים שמתחפשים לכלי AI רגילים, ובתנאים מסוימים פותחים ממשק נסתר ליצירת תמונות וסרטונים מיניים פוגעניים מתמונה של אדם אמיתי. במדריך הזה נסביר איך זה עובד, ואיך הורים ומשתמשים מזהים אפליקציות AI מסוכנות לפני שהן נכנסות לטלפון.
מה חשף התחקיר של WIRED?
לפי WIRED והחוקרים של הארגון AI Forensics, רשת אחת הפעילה מאות אפליקציות ואתרים שנראים כמו עורכי תמונות לחיות מחמד, מורים לשפות או מאמני כושר. אחרי ההתקנה, שרת מרוחק מחליט אם להציג את האפליקציה התמימה או ממשק נסתר עם עשרות תבניות של דיפ-פייק מיני, כולל סצנות אלימות. התשלום עבר דרך Apple Pay ו-Google Pay.
הדוגמה שפותחת את התחקיר היא Viefur, אפליקציית "דיוקנאות לחיות מחמד" שמוכרת מטבעות: בערך 4 דולר ל-130 מטבעות. אפליקציה אחרת ברשת, DiffAI, הורדה יותר מ-100,000 פעמים מ-Google Play. בספטמבר היו בחנות של Google 27 אפליקציות חיות מהרשת, עם יותר מ-350,000 הורדות במצטבר, ורבות מהן סומנו כמתאימות לכל הגילים.
לפי התחקיר, מאחורי הרשת עומדים מפתחים דוברי סינית וחברה רשומה בהונג קונג בשם KeLing Technology Limited. החוקר Maël Le Touz מחברת האבטחה Infoblox מצא כמעט 500 דומיינים מקושרים, שמריצים את אותו קוד ומפנים זה לזה.
איך אפליקציה כזאת עוברת את הבדיקה של החנויות?
בשיטה שנקראת bait-and-switch. האפליקציה מוגשת לבדיקה כשהיא באמת תמימה. אחרי האישור, המפתחים מחליפים את האתר שממנו היא מושכת תוכן. לפי החוקר פול בושו (Paul Bouchaud) מהארגון AI Forensics, שפירק את הקוד של האפליקציות, בכל התקנה האפליקציה שולחת לשרת מאיפה הגעתם, באיזו שפה ומזהה ייחודי, והשרת מחליט מה תראו. אחד הטריגרים: התקנה אחרי לחיצה על מודעה בפייסבוק או באינסטגרם.
Apple אומרת את זה במפורש. לדברי הדובר שלה, האפליקציות עמדו בכללים כשנבדקו, והתוכן הוחלף אחר כך. החברה הסירה 19 אפליקציות, ביניהן Viefur, אחרי פנייה של WIRED. DiffAI הוסרה מ-Google Play זמן קצר לפני הפנייה, ו-Google לא הגיבה ל-WIRED. Meta אומרת שפעלה נגד 11,600 חשבונות מודעות וחסמה 209 אפליקציות מפרסום. אבל ב-WIRED מציינים שגם כשסיימו לכתוב את הכתבה, מודעות ואפליקציות דומות המשיכו לעלות.
המשמעות לכם פשוטה ולא נעימה: הסימון "נבדק בחנות" לא מספיק. אפליקציה יכולה להיות כשרה ביום ההורדה ולהשתנות שבוע אחרי, בלי עדכון גרסה. וזה קורה במדינה שכבר נמצאת בחזית: ישראל במקום הראשון בעולם באירועי סייבר ב-2025.
איך מזהים אפליקציות AI מסוכנות?
אין סימן אחד שמוכיח. אבל יש צירוף של סימנים שכדאי לעצור בגללו: מפתח אנונימי עם מייל של Gmail, מדיניות פרטיות גנרית, מטבעות או "יהלומים" במקום מנוי ברור, הגעה מתוך מודעה בוטה, ובקשה להעלות תמונה של אדם, לא רק של נוף או חיה. ככל שיש יותר מהם, הסיכון עולה.
סימנים בדף האפליקציה בחנות
- שם מפתח שלא אומר כלום. בלי אתר רציני, עם כתובת מייל חינמית. ברשת שנחשפה זה היה הדפוס הקבוע.
- הבטחה מעורפלת. "דיוקן AI", "מאמן כושר AI", "החלפת פנים בכיף". כשאפליקציה צריכה תמונה שלכם או של מישהו אחר כדי לעבוד, תשאלו למה.
- ביקורות מוזרות. ב-DiffAI משתמש כתב בביקורת שהאפליקציה כוללת תבניות לתוכן פוגעני ולא בודקת גיל. שווה לגלול לביקורות של כוכב אחד, שם בדרך כלל מסתתרת האמת.
- מטבעות וירטואליים. "יהלומים" או "קוינים" לכל יצירה. זה מודל רווחי מאוד לאפליקציות כאלה, והוא חוזר שוב ושוב ברשת.
סימנים אחרי ההתקנה
- ממשק שמתחלף פתאום, או מסך שחור שנטען לתוך האפליקציה.
- כתובת אתר שמשתנה ומופיעה בה המילה risk. לפי WIRED, זה מה שקורה כשנכנסים לאתרים של הרשת.
- קישורים לערוצי טלגרם או לרשתות חברתיות "לתמיכה", במקום מערכת פניות מסודרת.
לפני שמתקינים כלי AI לא מוכר, חפשו בגוגל את שם האפליקציה יחד עם שם המפתח. אם אין שום תוצאה חוץ מדף החנות, זה כבר סימן. כלים מוכרים כמו DALL-E של OpenAI או Leonardo AI מגיעים מחברות עם שם, כתובת ומדיניות שימוש שאוסרת תוכן מיני של אנשים אמיתיים.
מה הורים יכולים לעשות כבר היום?
שלושה דברים עובדים יותר מכל תוכנה: לחייב אישור הורה לכל הורדה בטלפון של הילד, לבדוק יחד מה מותקן ולמה, ולדבר בפתיחות על כך שתמונה של חבר מהכיתה היא לא "חומר גלם" לאפליקציה. דירוג הגיל בחנות לא מגן, כי ברשת שנחשפה אפליקציות רבות סומנו לכל הגילים.
- באייפון: בהגדרות "זמן מסך" אפשר להפעיל את "בקשה לרכישה" דרך שיתוף משפחתי, כך שכל הורדה מחכה לאישור שלכם.
- באנדרואיד: ב-Google Family Link אפשר לדרוש אישור הורה להורדות ולרכישות מ-Google Play.
- כרטיס האשראי: אם הילד משלם דרך Apple Pay או Google Pay, תעברו פעם בחודש על החיובים. רכישות קטנות וחוזרות של "מטבעות" שוות שיחה.
והשיחה עצמה חשובה יותר מהטכנולוגיה. נער שקיבל תמונה מזויפת של בת כיתה צריך לדעת שמעבירים אותה הלאה זה פוגע, ושמותר לו לספר לכם בלי לחטוף צעקות.
מה עושים אם מישהו יצר תמונה מזויפת שלכם או של הילד?
לא מוחקים מיד. מצלמים מסך עם התאריך, שם החשבון והקישור, ואז מדווחים לפלטפורמה שבה התמונה הופצה. בישראל אפשר לפנות למוקד 105, המוקד הלאומי להגנה על ילדים ברשת, גם כשמדובר בבני נוער. ואם מדובר בתמונה אינטימית, יש כלים שעוזרים לחסום אותה מראש בפלטפורמות הגדולות.
למבוגרים יש את StopNCII.org, שיוצר "טביעת אצבע" דיגיטלית של התמונה בלי להעלות אותה עצמה, ופלטפורמות שותפות חוסמות העלאות שתואמות לה. לקטינים יש את Take It Down של הארגון האמריקאי NCMEC, שעובד בשיטה דומה. ומה שחשוב שהילד ישמע: הוא הקורבן, לא האשם.
אל תנסו "לבדוק" אפליקציה חשודה בעצמכם עם תמונה של אדם אמיתי, גם לא שלכם. אתם שולחים תמונה לשרת של מפעיל אנונימי, ואין לכם שום שליטה על מה שיקרה לה.
שאלות נפוצות
איך יודעים אם אפליקציית AI מסוכנת?
אין סימן אחד שמבטיח. סימני אזהרה: מפתח לא מוכר בלי אתר אמיתי, מדיניות פרטיות גנרית, מטבעות או "יהלומים" לקנייה, בקשה להעלות תמונה של אדם, ומודעה שהובילה אליה שנראית שונה מדף החנות. חפשו את שם האפליקציה יחד עם שם המפתח לפני ההורדה.
האם אפליקציה שאושרה ב-App Store בטוחה?
לא בהכרח. לפי Apple, האפליקציות שנחשפו בתחקיר עמדו בכללים כשנבדקו, והמפתחים החליפו את התוכן אחרי האישור. אישור החנות הוא בדיקה ביום ההגשה, לא אחריות על מה שהאפליקציה תציג אחר כך.
מה עושים אם הופצה תמונה מזויפת של הילד?
מתעדים (צילום מסך עם תאריך, שם החשבון וקישור), מדווחים לפלטפורמה ופונים למוקד 105, המוקד הלאומי להגנה על ילדים ברשת. אפשר גם להגיש תלונה במשטרה. לקטינים קיים הכלי Take It Down של NCMEC, שעוזר לחסום הפצה של התמונה בפלטפורמות שותפות. והכי חשוב: להבהיר לילד שהוא לא אשם.
האם יצירת דיפ-פייק מיני היא עבירה בישראל?
הפצה כן. סעיף 3(א)(5א) בחוק למניעת הטרדה מינית ("חוק הסרטונים", תיקון 10 מ-2014) אוסר לפרסם בלי הסכמה תצלום, סרט או הקלטה של אדם שמתמקדים במיניותו, בנסיבות שעלולות להשפיל או לבזות אותו, והחוק מגדיר שזה כולל "עריכה או שילוב" כשאפשר לזהות את האדם. העונש: עד חמש שנות מאסר, ובית משפט יכול לפסוק פיצוי של עד 120,000 ש"ח בלי הוכחת נזק. לגבי יצירה בלבד, בלי פרסום, המצב פחות ברור: הצעת חוק ייעודית לעבירות זיוף עמוק הונחה בכנסת ב-2025, אבל לפי מה שמצאנו היא עדיין לא אושרה. זה לא ייעוץ משפטי, ובמקרה אמיתי כדאי לפנות לעורך דין או למשטרה.
השורה התחתונה
הבעיה בתחקיר הזה היא לא שקיימות אפליקציות פוגעניות. את זה ידענו. הבעיה היא שהן נראות בדיוק כמו עוד כלי ליצירת תמונות ווידאו ב-AI, ושהבדיקה של החנויות לא תופסת אותן בזמן. אז הצעד הכי מעשי הערב: להיכנס לטלפון של הילד, להפעיל אישור הורה להורדות, ולעבור יחד על כל אפליקציית AI שמבקשת תמונה של אדם.
