苹果下架19款伪装App

苹果在收到媒体调查线索后，紧急下架了19款伪装成宠物写真、语言学习和AI健身教练的App。这些应用通过App Store审核时看起来功能正常，上架后却由服务器切换远程网页，向特定用户展示用于制造未经同意私密影像及性暴力深度伪造内容的隐藏服务。

这不是几名开发者偷偷塞入违规按钮，而是一套覆盖开发、投放、分发、支付和域名轮换的商业化系统。据《连线》11月2日披露，研究人员追踪到400多个相互关联的域名和应用；截至2026年9月，仍有27款相关应用出现在Google Play，累计下载量超过35万次，其中多款甚至被标注为适合所有年龄段。苹果在接到问询后下架19款App，Meta则称已处置1.16万个相关广告账户，并禁止209款应用继续投放广告。IT之家对事件进行了中文整理。

19款App被下架，问题不在安装包表面

“审核后换壳”是一种应用通过审核后，再利用服务器端配置或远程网页改变实际功能的规避手段。 审核人员拿到的是宠物头像生成器，真实目标用户从广告进入后看到的却是另一套界面；两个人安装同一个版本，最终使用的可能根本不是同一款产品。

研究人员逆向分析发现，相关应用启动后会向服务器发送用户来源、设备或会话标识、系统语言等信息，服务器再决定返回普通页面还是隐藏页面。一个重要的判断信号可能是用户是否点击了Facebook或Instagram上的特定广告：普通用户、审核员和安全研究人员看到无害服务，从推广链路进入的潜在付费用户则被导向真正的深度伪造功能。

这种结构的关键不在于App偷偷下载了一个新模型，而在于它把“产品是什么”的决定权放在了远程服务器。原生安装包更像一个具备账号、支付和网页加载能力的空壳，真正的模板、生成入口、商品体系和运营活动都由Web界面提供。只要不提交新版本，运营方就可以随时更换网页内容，同时避开常规的版本复审流程。

苹果对媒体表示，这些App接受审核时符合规则，但开发者在获批后更换了应用调用的网站内容，把已经审核的页面替换成色情内容。换句话说，苹果审核的不是一个藏着违规代码的二进制文件，而是一扇当时通向正常网页、后来被人从服务器另一端换掉房间的门。

一条完整的灰色产业链

这批应用的价值不在单个App，而在于它们组成了一套可以批量复制和快速重生的分发网络。 研究人员在相关网站的JavaScript资源中发现了大量域名、应用包信息、加密参数和广告追踪配置，多个站点运行相似代码并彼此关联。安全公司Infoblox的研究人员一度识别出接近500个相关域名。

这套网络大约从2025年末开始出现，并在2026年春季明显加速。高峰期每周可注册约30组应用和网站，一个应用被下架后，运营方可以立刻换开发者名称、图标、功能描述和域名，再以另一款“AI工具”的身份上线。

| 环节 | 表面形态 | 实际作用 | 平台盲区 | |---|---|---|---| | 广告获客 | 宠物写真、图片特效或暧昧AI视频广告 | 筛选高意向用户并携带来源参数 | 广告素材、落地页和最终功能可能不一致 | | 商店分发 | 语言学习、健身教练、图片编辑器 | 借助官方商店建立可信度并完成安装 | 审核环境只看到普通页面 | | 远程分流 | 根据语言、地区和来源展示不同页面 | 对审核员隐藏违规功能 | 静态审核无法还原所有服务器响应 | | 内容生成 | 远程Web界面和云端模型 | 生成未经同意的私密影像或暴力内容 | 安装包内可能没有对应模型和模板 | | 商业变现 | 虚拟币、钻石或订阅 | 降低支付门槛并形成持续收入 | 正常支付外观掩盖实际服务用途 | | 快速重生 | 新域名、新图标、新开发者账号 | 在下架后迅速重新上线 | 单款App处置无法摧毁整个网络 |

最典型的案例是宠物写真应用Viefur。它表面上允许用户购买虚拟币，把宠物照片生成穿着人类服装的拟人化图片，约4美元可购买130枚虚拟币；但在特定条件下，它会加载另一套包含露骨和暴力模板的网页界面。

规模最大的相关应用之一DiffAI于2025年12月上线，在Google Play的下载量超过10万次。相关研究显示，这些服务缺乏有效的年龄验证和人物授权确认，却可能被应用商店标注为适合所有年龄段。这意味着商店的年龄分级并未根据真实服务动态变化，而是继承了伪装版本提交时的产品描述。

为什么App Store审核没能拦住

App Store审核擅长检查一个确定版本，却不擅长检查一个会“看人下菜”的在线系统。 传统审核主要围绕二进制文件、权限调用、应用内购买、界面流程和开发者提供的测试账号展开，但服务器可以根据访问环境返回完全不同的产品。

从技术上看，这类应用并不需要在安装包中保留明显的违规模型、提示词或素材。App只需要具备网页容器、账号系统、远程配置和支付入口，审核通过后再替换服务端资源。即使平台对安装包做完整的代码扫描，也很难从一个普通的网页加载地址推断出两周后该地址会展示什么。

从运营上看，定向分流进一步降低了暴露概率。服务器可以识别系统语言、访问国家、广告点击参数、账号创建时间和设备特征，对疑似审核环境始终返回宠物照片或健身课程。违规功能不必面向所有人开放，只需要对从特定广告进入的用户开放，便能兼顾获客效率和隐蔽性。

从组织上看，大量一次性域名和开发者身份让封禁变成了消耗战。平台下架一个App，只解决了一个入口；如果背后的网页模板、广告账户、支付主体和模型服务仍在运行，同一产品很快就能重新包装成“AI穿搭”“照片修复”或“虚拟发型设计”。

这也是苹果本次下架19款App仍然不算彻底胜利的原因。研究人员在报道接近完成时仍观察到类似广告和应用继续出现，说明处置速度尚未超过这套网络创建新入口的速度。

苹果刚更新规则，现实立刻给出压力测试

苹果新增的App审核指南2.5.19条款，正是为了禁止应用在过审后添加未披露功能。 苹果于2026年10月16日更新规则，一方面在1.2条款中明确要求AI内容应用主动预防和移除未经同意的私密影像，另一方面通过2.5.19条款打击“提交审核时一个样、上线后另一个样”的诱饵式过审。

| 规则 | 管理对象 | 核心要求 | 可能后果 | |---|---|---|---| | 1.2 用户生成内容 | AI生成、上传或分享内容的平台 | 过滤违规内容、提供举报渠道、封禁滥用者并及时响应 | App下架或开发者行为处罚 | | 2.5.19 功能一致性 | 审核后通过远程配置改变功能的应用 | 上线产品必须与提交审核的功能保持一致 | App下架及开发者计划资格终止 | | 第5节安全要求 | 儿童剥削、人口贩运等严重违法内容 | 不得生成、传播或协助相关内容 | 下架并阻止其他分发方式 |

新规发布时间与此次调查只相隔17天，使这批应用成为2.5.19条款的一次现实压力测试。规则文本已经准确命中问题，但平台能否自动发现违规，仍取决于技术检测和跨平台情报，而不是条款写得是否足够严厉。

苹果称，过去一年阻止了超过15万款存在安全问题的应用上架，并终止了超过19.3万个涉嫌欺诈和滥用的开发者账户。这个数字证明审核系统每天确实拦截了大量风险，也从侧面说明，以批量注册账号、域名和应用为基础的对抗已经工业化。

真正的漏洞横跨三个平台

这起事件不是苹果一家审核失败，而是广告平台、应用商店和支付体系的信任被串联利用。 Facebook和Instagram负责精准找到潜在用户，App Store与Google Play提供“官方审核过”的安全感，Apple Pay或Google Pay降低付款阻力，远程网站则承载平台不允许出现的实际功能。

用户看到应用来自官方商店，往往会默认它已经经过隐私、安全和内容审查。灰色服务利用的正是这层信任：它不再要求用户访问一个看起来可疑的网站，而是先让用户安装一款拥有正规图标、年龄分级和商店评论的App，再在内部完成页面切换。

Meta表示，针对这批关联域名已经处置1.16万个广告账户、4700多个商业主页、5200名用户和1.5万个页面，并禁止209款应用投放广告。这个规模说明问题绝非少数漏审素材，而是广告账户、虚假付款人名称、空壳主页和一次性域名共同构成的账号农场。

更严重的是，部分广告被发现含有AI生成的儿童性虐待材料。此类内容已经越过一般成人内容治理的边界，平台不能再把它视作“广告审核不够准确”或“模型安全措施不足”，而应按高危违法内容建立更快的识别、证据保全和执法协作流程。

只靠人工复审不够

平台下一步需要审核的是服务端行为，而不只是送审时的客户端版本。 对包含WebView、远程模板或生成式AI功能的应用，审核系统应在不同地区、语言、设备环境和广告来源参数下重复运行，比较页面结构、网络请求和付费商品是否出现异常差异。

远程内容变更也应该留下可审计记录。平台可以要求高风险类别的应用申报核心域名、模型服务、内容模板和远程配置用途；当主要域名、页面哈希或功能入口发生显著变化时，自动触发重新审核，而不是等媒体或研究人员发现问题后再下架。

开发者关联分析同样比封禁单个App更重要。相同的代码资源、隐私政策文本、支付商品、广告追踪ID、证书、客服邮箱和域名注册模式，都可以成为识别应用集群的信号。研究人员正是通过代码中的配置列表和域名关系还原了整个网络，平台掌握的数据更多，理论上应该更早完成这种关联。

广告平台也需要对“广告承诺—商店页面—安装后功能”进行端到端核验。如果广告展示的是人物照片处理或暧昧内容，落地页却是宠物写真应用，系统不应把二者分别审核后放行，而应直接把这种明显的语义断裂视为高风险信号。

开发者会受到什么影响

正常使用远程配置和Web内容的开发者不会因此被一刀切，但功能透明度将成为新的合规成本。 新闻、零售、教育和企业服务App普遍需要动态更新网页内容，苹果不可能禁止所有远程页面；真正的边界在于，服务器更新是否改变了应用的核心用途，是否增加了送审时没有披露的生成、交易或社交能力。

AI应用尤其需要证明安全机制不是审核专用的演示开关。内容过滤、人物授权、举报响应、未成年人保护和账号封禁应覆盖真实线上流量，而不能只在审核账号或特定地区启用。平台未来很可能通过红队提示、不同账号画像和持续抽检验证防护机制是否长期有效。

开发者还应警惕第三方模板、广告SDK和白标服务带来的连带风险。如果一款App的远程运营、模型接口和素材库由外部供应商控制，开发者仍需对最终展示内容负责。“代码不是我写的”或“页面由合作方更新”很难成为规避商店责任的理由。

这不是深度伪造第一次绕过平台，也不会是最后一次

深度伪造治理正在从识别生成内容，转向识别背后的分发和商业网络。 单纯检测一张图片是不是AI生成，已经不足以处理这种规模化服务；平台必须同时关注谁在投广告、谁在收款、哪些应用共享代码、哪些域名反复更换，以及相同用户群被怎样跨平台追踪。

苹果快速下架19款App是必要动作，但仍属于媒体曝光后的被动清理。真正有效的治理标准不是“接到线索后删得有多快”，而是能否在一个网络批量注册30组新应用和域名之前，识别它们共享的基础设施并切断分发、广告和支付能力。

这次事件最值得开发者注意的，不是App Store又多了一条禁止性条款，而是移动应用的安全边界已经从安装包扩展到了服务器、广告参数和动态网页。只审核客户端，就像检查一家餐厅开业当天的菜单，却不关心它第二天从后门端出了什么。

对苹果而言，2.5.19条款已经把“审核后换壳”定义为明确违规；对Meta和Google而言，大规模广告账户与应用集群也已经留下足够多的关联信号。规则现在并不缺，接下来要看的，是平台能否把这些信号真正连接起来，而不是继续依赖研究人员和媒体替它们完成风险发现。

参考来源

• IT之家：苹果下架19款App，宠物写真等应用被曝暗藏另一张“面孔” — 汇总《连线》调查中的应用数量、下载量、技术机制以及苹果、谷歌和Meta的处置数据。