Hàng trăm ứng dụng AI "vỏ bọc" che giấu tính năng deepfake khiêu dâm và bạo lực

Một cuộc điều tra của WIRED vừa phơi bày mạng lưới hơn 400 ứng dụng và tên miền liên kết, bề ngoài là những công cụ AI vô hại như tạo ảnh thú cưng hay huấn luyện viên thể hình, nhưng thực chất ẩn giấu tính năng tạo ảnh và video deepfake khiêu dâm, thậm chí cả nội dung xâm hại tình dục trẻ em.

Mạng lưới này do các nhà phát triển nói tiếng Trung vận hành, lọt qua kiểm duyệt của cả App Store và Google Play, và được quảng bá qua hàng chục nghìn mẫu quảng cáo trên Facebook lẫn Instagram. Vụ việc gióng lên hồi chuông cảnh báo về lỗ hổng trong hệ thống kiểm duyệt ứng dụng toàn cầu.

Vỏ bọc hoàn hảo cho mục đích thực sự

Thoạt nhìn, Viefur — một ứng dụng tự nhận là công cụ "tạo ảnh thú cưng" — chẳng khác gì vô số ứng dụng AI tạo ảnh khác. Người dùng nạp tiền xu trong ứng dụng (khoảng 4 USD đổi được 130 xu) để biến ảnh thú cưng thành "chân dung nhân hóa", chẳng hạn một chú chuột hamster mặc quần short đi biển, đeo kính râm nằm bên hồ bơi, hay một con mèo mặc áo Hawaii đang uống nước dừa.

Nhưng đó chỉ là lớp ngụy trang. Theo điều tra của WIRED, Viefur chỉ là một mắt xích trong mạng lưới hơn 400 tên miền và ứng dụng có liên hệ với nhau. Khi được truy cập trong những điều kiện nhất định, các ứng dụng này bí mật tải lên một giao diện web cho phép tạo ảnh và video khiêu dâm bằng AI từ ảnh do người dùng tải lên.

Đáng báo động hơn, giao diện này còn cung cấp các kịch bản như "cưỡng hiếp trong phòng ngủ" hay "đe dọa bằng dao", mô tả cảnh một người đàn ông kề dao vào cổ một người phụ nữ.

Bí mật nằm trong mã nguồn

Các nhà nghiên cứu phát hiện mạng lưới này nhờ phân tích hàng nghìn mẫu quảng cáo video chứa nội dung deepfake khiêu dâm được đăng trên Facebook và Instagram. Nhiều quảng cáo trong số đó chứa cả tài liệu xâm hại tình dục trẻ em do AI tạo ra, bao gồm hình ảnh trẻ em thật và một thành viên của một gia đình hoàng gia châu Âu.

Theo Paul Bouchaud, nhà nghiên cứu tại tổ chức phi lợi nhuận AI Forensics, mỗi khi ứng dụng được tải xuống, nó sẽ gửi thông tin về máy chủ — như vị trí người dùng, ngôn ngữ, mã định danh — và máy chủ sẽ quyết định có hiển thị phiên bản khiêu dâm hay không.

"Đây là một chiến dịch có tổ chức, vận hành vì lợi nhuận: một chủ thể đứng sau hàng trăm ứng dụng và tên miền dùng một lần, ngụy trang để lọt qua kiểm duyệt App Store và đẩy qua hàng chục nghìn quảng cáo Meta dưới tên người trả tiền giả mạo. Họ không kỳ vọng cơ quan chức năng đuổi kịp, và cho đến nay thì đúng là chưa đuổi kịp."

Đáng chú ý, gói JavaScript trên các trang web của mạng lưới này chứa danh sách toàn bộ tên miền và ứng dụng mà nhóm phát triển đã tạo, kèm thông tin gói ứng dụng, khóa mã hóa và mã theo dõi quảng cáo Facebook. Maël Le Touz, nhà nghiên cứu tại hãng bảo mật Infoblox, đã xác định được gần 500 tên miền liên kết theo cách này.

Quy mô đáng sợ

Phân tích của Bouchaud cho thấy các ứng dụng bắt đầu xuất hiện từ cuối năm 2025, với đỉnh điểm vào mùa xuân. Có thời điểm, khoảng 30 ứng dụng web "nudify" (tạo ảnh khỏa thân) được đăng ký mỗi tuần, trong đó 27 ứng dụng còn hoạt động trên Google Play vào tháng 9.

Các ứng dụng này đã được tải xuống tổng cộng hơn 350.000 lần, nhiều ứng dụng được xếp hạng phù hợp với mọi lứa tuổi. Một trong những ứng dụng phổ biến nhất là DiffAI, tạo tháng 12/2025, đã vượt 100.000 lượt tải trên Google Play. Một đánh giá của người dùng trên nền tảng này viết: "Ứng dụng này chứa các mẫu tạo tài liệu xâm hại tình dục trẻ em và các loại nội dung khiêu dâm khác. Nó không hề xác minh độ tuổi."

Sau khi WIRED liên hệ, Google đã gỡ DiffAI cùng phần lớn các ứng dụng còn lại. Apple cũng xóa 19 ứng dụng khỏi App Store, bao gồm Viefur.

Cả Apple và Google đều nói đã nỗ lực kiểm soát

Đại diện Apple khẳng định App Store được thiết kế để trở thành nơi an toàn, và các ứng dụng tạo ảnh khỏa thân bị nghiêm cấm. Tuy nhiên, họ thừa nhận các ứng dụng này "tuân thủ quy định tại thời điểm được xét duyệt" rồi sau đó thay đổi trang web nguồn nội dung.

"Sau khi được duyệt, nhà phát triển đã thay đổi trang web mà ứng dụng lấy nội dung, thay thế nội dung được duyệt bằng nội dung khiêu dâm và quảng bá nó qua quảng cáo khiêu dâm trên nền tảng bên thứ ba."

Apple cho biết đã đình chỉ hàng chục nghìn ứng dụng dùng chiêu trò "mồi và tráo" này trong năm qua, và mới cập nhật quy định để siết chặt hơn nữa các công cụ "nudify".

Về phía Meta, đại diện công ty cho biết đã cấm KeLing Technology Limited — một pháp nhân đăng ký tại Hong Kong được cho là trung tâm của mạng lưới — quảng cáo từ năm 2025 sau khi công ty này không tuân thủ lệnh yêu cầu chấm dứt. Sau khi WIRED chia sẻ danh sách hơn 400 tên miền, Meta cho biết đã xử lý 11.600 tài khoản quảng cáo, hơn 4.700 trang doanh nghiệp, 5.200 người dùng và 15.000 trang liên quan, đồng thời chặn 209 ứng dụng quảng cáo trên nền tảng của mình.

Dấu vết dẫn về các nhà phát triển Trung Quốc

Theo Le Touz, mạng lưới này sử dụng dịch vụ lưu trữ độc quyền tại Trung Quốc, mã nguồn viết bằng tiếng Trung với nhiều chú thích tiếng Trung, và các video quảng cáo chứa hình mờ của phần mềm dựng phim tiếng Trung.

Các ứng dụng thường dùng chính sách bảo mật chung chung, địa chỉ email miễn phí từ Gmail hoặc Outlook, và tên nhà phát triển mơ hồ để che giấu liên hệ. Quảng cáo trên nền tảng Meta cũng dùng những cái tên rõ ràng là giả mạo như "Draftmondcreldbro Duhustepre" hay "Swaldmungsha Glasirdcroldshold", gắn với các trang không có người theo dõi.

Bài học cho người dùng Việt Nam

Vụ việc là lời cảnh tỉnh cho người dùng smartphone, đặc biệt tại Việt Nam — nơi các ứng dụng AI tạo ảnh đang nở rộ và người dùng thường có thói quen tải ứng dụng miễn phí từ các cửa hàng chính thức mà ít kiểm tra kỹ quyền truy cập và nguồn gốc nhà phát triển.

• Cảnh giác với ứng dụng AI "quá tốt để là thật": Ứng dụng tạo ảnh miễn phí hoặc giá rẻ bất thường có thể che giấu mục đích khác.
• Kiểm tra nhà phát triển: Tên nhà phát triển mơ hồ, email miễn phí, chính sách bảo mật chung chung là dấu hiệu đáng ngờ.
• Hạn chế tải ảnh cá nhân lên ứng dụng lạ: Ảnh chân dung có thể bị lạm dụng để tạo deepfake.
• Báo cáo ứng dụng đáng ngờ: Người dùng nên báo cáo cho Google, Apple và cơ quan chức năng khi phát hiện nội dung vi phạm.

Khi WIRED hoàn tất bài điều tra, những mẫu quảng cáo và ứng dụng tương tự vẫn tiếp tục được đăng tải trên các nền tảng công nghệ — cho thấy cuộc chiến chống deepfake lạm dụng vẫn còn rất dài phía trước.