Une application IA de retouche vidéo a laissé
8,27 millions de fichiers en libre accès.
Photos et vidéos personnelles consultables sans le moindre mot de passe.
Il n’y a eu ni intrusion, ni contournement, ni exploitation de faille. L’espace de stockage était simplement configuré pour répondre à toute personne connaissant son adresse. Ce n’est pas un piratage, c’est un réglage.
L’application concernée
Video AI Art Generator & Maker est une application Android lancée à la mi-juin 2023. Son principe est celui de dizaines d’outils comparables : l’utilisateur envoie une photographie ou une vidéo, l’application applique une transformation générative et renvoie un résultat stylisé, souvent présenté comme cinématographique.
Le service a dépassé les 500 000 téléchargements. Ce chiffre paraît modeste à l’échelle des applications grand public. Il devient vertigineux rapporté au volume accumulé : douze téraoctets de contenus personnels pour un demi-million d’installations.
Une précision s’impose sur son statut actuel. Les journalistes qui ont couvert l’affaire n’ont pas retrouvé l’application sur la boutique Android ni sur le site officiel de son éditeur, dont la page publique ne listait que trois applications. Il s’agit d’une absence constatée, pas d’un retrait officiellement annoncé.
Ce que contenait le stockage
L’inventaire publié par les chercheurs de Cybernews, à l’origine de la découverte en février 2026, distingue clairement deux catégories. La distinction est décisive pour évaluer la gravité réelle.
- Contenus envoyés par les utilisateurs : plus de 1,57 million d’images originales et plus de 385 000 vidéos personnelles. Ce sont des fichiers pris sur des téléphones privés.
- Contenus générés par l’application : environ 2,87 millions d’images, 2,87 millions de vidéos et plus de 386 000 fichiers audio produits par les traitements automatisés.
- Total : environ 8,27 millions de fichiers, pour plus de douze téraoctets.
L’espace de stockage semblait contenir l’intégralité des fichiers déposés depuis l’ouverture du service. Les plus anciens précédaient même sa mise à disposition publique. Aucune purge, aucune durée de conservation limitée : tout était resté en place.
Une correction utile par rapport à ce qui a circulé : il ne s’agissait pas de documents administratifs, de pièces d’identité ou de relevés bancaires. Le contenu vérifié est constitué de médias personnels et de leurs versions transformées.
Cela ne rend pas l’incident moins grave, seulement différent. Une photographie de famille, une vidéo d’intérieur ou un portrait constituent une matière exploitable d’une autre manière qu’un numéro de compte, et souvent de façon plus durable.
Un détail de l’inventaire mérite d’être souligné, car il change l’appréciation du risque. La présence simultanée des fichiers originaux et de leurs versions transformées signifie qu’un tiers accédant au stockage pouvait rapprocher les deux : voir le visage réel d’une personne et ce qu’elle a choisi d’en faire. Cette correspondance est plus riche qu’une simple collection d’images. Elle documente une intention, un goût, parfois une intimité, et elle facilite considérablement l’identification d’une personne à partir d’un contenu qui circulerait ailleurs.
Une absence d’authentification
Le mécanisme est d’une banalité qui explique en partie sa fréquence. L’application déposait ses fichiers dans un espace de stockage hébergé par un grand fournisseur de services en nuage. Ce type d’espace se configure en quelques clics, avec un paramètre déterminant : faut-il, ou non, une autorisation pour lire son contenu ?
Ici, la réponse était non. Toute personne connaissant l’adresse de l’espace pouvait en lister et en télécharger les fichiers, sans identifiant, sans jeton d’accès, sans le moindre contournement technique. Le contenu était public au sens strict du terme.
Les chercheurs ont contacté l’éditeur, à plusieurs reprises avant d’obtenir une réponse. L’accès a ensuite été fermé. Cette fermeture règle le problème pour l’avenir et ne dit rien du passé : rien ne permet d’établir combien de fichiers avaient été copiés pendant les mois, voire les années, d’exposition.
Ce type de configuration défaillante revient dans la quasi-totalité des grands incidents récents. On la retrouve dans l’exposition de millions de conversations sur un service conversationnel, dans les incidents affectant la chaîne d’approvisionnement logicielle de l’IA ou dans les vols de données transitant par des environnements tiers. Le point commun n’est jamais la sophistication de l’attaque, mais l’absence de verrou.
L’éditeur et son historique
L’application est attribuée à Codeway Dijital Hizmetler Anonim Şirketi, société enregistrée en Turquie. Certaines applications du groupe sont également publiées sous une entité enregistrée aux Émirats arabes unis. L’ensemble du catalogue dépasse les dix millions de téléchargements cumulés.
Ce n’est pas le premier incident. Quelques semaines plus tôt, début février 2026, un chercheur indépendant avait établi qu’une autre application du même éditeur, Chat & Ask AI, souffrait d’une configuration défaillante sur une plateforme de développement différente. Il avait pu accéder à environ 300 millions de messages associés à plus de 25 millions d’utilisateurs.
Deux expositions massives, sur deux services distincts, à quelques semaines d’intervalle. La récurrence importe davantage que chaque incident pris isolément : elle déplace la question d’une erreur ponctuelle vers celle des pratiques de développement à l’échelle d’une organisation entière.
Un point d’attention pour l’utilisateur : la dispersion des entités éditrices complique l’identification du responsable du traitement. Une même équipe publiant sous plusieurs raisons sociales, dans plusieurs juridictions, rend difficile de savoir à qui adresser une demande de suppression, et sous quel droit. C’est précisément ce que le règlement européen cherche à rendre lisible, et c’est le premier élément à vérifier avant de confier quoi que ce soit à une application : le nom de l’éditeur doit être identifiable, stable et rattaché à une adresse réelle.
Un problème qui dépasse cette application
C’est l’élément le plus instructif du dossier, et celui qui devrait retenir l’attention bien au-delà de cette application particulière.
Une étude à grande échelle menée par la même équipe sur les applications d’intelligence artificielle disponibles sur Android aboutit à un constat sévère : 72 % des applications analysées contiennent au moins un secret inscrit en dur dans leur code, avec une moyenne de 5,1 secrets par application.
Un secret inscrit en dur, ce sont des identifiants d’accès, des clés d’interface ou des jetons d’authentification écrits directement dans le programme distribué. N’importe qui peut les extraire du fichier téléchargé depuis la boutique. C’est l’équivalent de laisser la clé sous le paillasson, et la profession alerte sur cette pratique depuis des années.
Cette pression sur les délais s’explique par l’économie du secteur : les applications de retouche générative se copient en quelques semaines, la fenêtre commerciale est courte, et la sécurité n’apparaît sur aucune fiche produit. Les autorités de contrôle documentent régulièrement les conséquences, comme le montrent les rapports de la CNIL sur la hausse des violations de données, et les obligations qui en découlent sont détaillées dans nos analyses des exigences applicables aux services d’intelligence artificielle.
Pourquoi des photos privées sont dangereuses
Une photographie paraît moins sensible qu’un numéro de carte bancaire. Cette intuition est fausse, pour une raison simple : une carte se fait opposer, un visage non.
- Reproduction du visage. Un portrait sous plusieurs angles, complété par une vidéo, constitue la matière première idéale pour générer une imitation convaincante. C’est précisément ce que contenait ce stockage.
- Contenus intimes ou embarrassants. Une application de transformation reçoit par définition des contenus que l’utilisateur trouve intéressants, parfois personnels, sans supposer qu’ils seront conservés indéfiniment.
- Faux profils crédibles. Des images réelles et variées permettent de construire une identité en ligne bien plus solide qu’une photographie unique récupérée sur un réseau social.
- Renseignement contextuel. Une vidéo d’intérieur révèle un logement, des habitudes, la présence d’enfants, parfois une localisation. Ce sont des informations qu’aucun formulaire ne demande jamais.
Ces contenus prennent toute leur valeur une fois recoupés avec d’autres sources, qu’il s’agisse de fuites portant sur des coordonnées bancaires, d’expositions de données de santé ou des grandes diffusions de comptes compromis.
La durée aggrave tout. Un mot de passe changé neutralise une fuite d’identifiants. Rien ne neutralise la circulation d’une image. Elle reste exploitable dix ans plus tard, et sa valeur augmente même à mesure que les outils de génération progressent.
Le même raisonnement vaut pour les données de localisation, un sujet abordé dans notre article sur la reconnaissance de lieux par les assistants : une photographie contient souvent bien plus d’informations que ce que son auteur y a vu.
Que faire si vous l’avez utilisée
Aucune des mesures habituelles après une fuite ne s’applique vraiment ici, puisqu’il n’y a ni mot de passe à changer ni compte à sécuriser. Cinq gestes restent néanmoins utiles.
Faire l’inventaire. Se remémorer ce qui a été envoyé. Cette étape est désagréable mais nécessaire : elle détermine le niveau de vigilance à adopter, très différent selon qu’il s’agissait de paysages ou de portraits.
Désinstaller et révoquer. Supprimer l’application si elle est encore présente, puis vérifier dans les paramètres du téléphone qu’aucune autorisation d’accès aux photographies ou à la caméra ne subsiste.
Surveiller les usurpations. Rechercher périodiquement son nom et effectuer une recherche d’image inversée sur les portraits concernés, pour repérer d’éventuels faux profils.
Se méfier des messages personnalisés. Une approche accompagnée d’une image que vous reconnaissez est un signal d’alerte, jamais une preuve de légitimité. C’est le mécanisme central de toutes les fraudes élaborées, de l’usurpation d’un conseiller bancaire aux fausses procédures administratives.
Conserver les preuves. En cas de chantage, d’imitation ou d’usage frauduleux, garder des captures horodatées avant tout signalement.
Comment évaluer une application IA
Les questions à se poser
Qui édite l’application, et cette société est-elle identifiable ? Combien de temps les fichiers envoyés sont-ils conservés ? Le traitement s’effectue-t-il sur l’appareil ou sur un serveur distant ? Existe-t-il un moyen de demander la suppression de ce qui a été déposé ?
Les signaux d’alerte
Une politique de confidentialité absente, générique ou impossible à relier à une entité juridique précise. Un éditeur dont le nom change selon les boutiques. Des permissions demandées sans rapport avec la fonction annoncée. Une conservation illimitée présentée comme un service.
La règle qui simplifie tout
Envoyer à une application de retouche uniquement ce que l’on accepterait de voir circuler. Cette règle paraît excessive, mais elle a le mérite d’être applicable sans connaissance technique et de rester valable quel que soit l’éditeur.
Le réflexe professionnel
Pour une entreprise, la question se pose différemment. Confier des visuels clients, des documents de travail ou des images de produits non encore commercialisés à un service dont l’hébergement est inconnu engage une responsabilité, un enjeu détaillé dans notre dossier sur le basculement que représente l’IA en matière de conformité.
Cet incident n’est pas isolé et ne le restera pas. Des services bien plus établis ont connu des défaillances comparables, comme le rappellent les failles apparues dès le lancement de certains grands modèles ou les expositions ayant touché plusieurs millions de personnes en France. La notoriété d’un éditeur n’est pas une garantie ; elle change seulement l’ampleur des conséquences.
Fuite de fichiers privés : les réponses essentielles.
Quelle application est concernée ?
Video AI Art Generator & Maker, une application Android lancée à la mi-juin 2023, attribuée à Codeway Dijital Hizmetler Anonim Şirketi, société enregistrée en Turquie. Elle proposait des transformations générative de photographies et de vidéos et avait dépassé 500 000 téléchargements.
Combien de fichiers étaient accessibles ?
Environ 8,27 millions, pour plus de douze téraoctets. Sur ce total, près de deux millions sont des contenus originaux envoyés par les utilisateurs : plus de 1,57 million d’images et plus de 385 000 vidéos. Le reste correspond à des médias produits par l’application.
S’agissait-il d’un piratage ?
Non. L’espace de stockage était configuré pour répondre sans authentification. Toute personne connaissant son adresse pouvait lister et télécharger les fichiers, sans identifiant ni contournement technique. C’est une erreur de configuration, pas une intrusion.
Des pièces d’identité ou des documents bancaires figuraient-ils dedans ?
Non, contrairement à ce qui a pu circuler. Le contenu vérifié est constitué de photographies et de vidéos personnelles ainsi que de leurs versions transformées. Cela ne rend pas l’incident moins grave, mais la nature du risque est différente.
La faille a-t-elle été corrigée ?
Oui, l’accès a été fermé après plusieurs tentatives de contact des chercheurs avec l’éditeur. Cette fermeture protège les fichiers restants mais ne permet pas de savoir combien avaient été copiés durant la période d’exposition, qui couvrait potentiellement plus de deux ans.
Le même éditeur avait-il déjà connu un incident ?
Oui. Début février 2026, un chercheur indépendant avait établi qu’une autre de ses applications, Chat & Ask AI, exposait environ 300 millions de messages liés à plus de 25 millions d’utilisateurs, sur une infrastructure différente.
Le problème est-il propre à cet éditeur ?
Non, et c’est le constat le plus préoccupant. Une étude à grande échelle sur les applications d’intelligence artificielle disponibles sur Android relève que 72 % des applications analysées contiennent au moins un identifiant d’accès inscrit en dur dans leur code, avec une moyenne de 5,1 par application.
Pourquoi des photographies sont-elles plus problématiques qu’un mot de passe ?
Parce qu’un mot de passe se change et qu’un visage non. Une image reste exploitable des années après la fuite, et sa valeur augmente à mesure que les outils de génération progressent. Elle permet également de créer des identités en ligne convaincantes.
- Cybernews — Enquête d’origine, inventaire des fichiers et étude sur les applications IA Android
- TechRadar — Détail des volumes et antécédents de l’éditeur
- PetaPixel — Ventilation des contenus envoyés et générés
- Journal du Geek — Reprise française de l’affaire
- 20 Minutes — Contexte et portée pour les utilisateurs
- CNIL — Recommandations sur les applications mobiles et les données confiées
WY-Créations analyse les évolutions du web, de l’intelligence artificielle et de la protection des données. Les volumes cités proviennent des travaux des chercheurs à l’origine de la découverte et n’ont pas fait l’objet d’une confirmation par l’éditeur concerné. Pour aller plus loin : toutes les actualités web.
Confier ses visuels à un service inconnu engage plus qu’on ne le croit.
WY-Créations accompagne les entreprises sur leurs sites, leurs outils et la maîtrise des contenus qu’elles produisent.