# Mind your key: An Empirical Study of LLM API Credential Leakage in iOS Apps
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/mind-your-key-an-empirical-study-of-llm-api-credential-leakage-in-ios-ap
- Fuente primaria: https://arxiv.org/abs/2606.12212
- Versión leída: v3
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Pinran Gao, Lingxiang Wang, Yi Liu, Kunpeng Liu, Fan Yang, Ying Zhang
- Fecha del corte: 10 JUNIO 2026.
- Área: IA APLICADA · EVALUACIÓN

## Tesis y contexto

Estudia fugas de credenciales de APIs LLM en apps iOS. Analiza 444 apps filtradas de 1092 candidatas y encuentra 282 con credenciales explotables en tráfico de red. Tres patrones: tokens JWT filtrados, proxies backend sin autenticación y transmisión plaintext de API keys. Tras disclosure, solo el 28% había corregido.

- Problema: Pone números a un riesgo muy práctico: integrar LLMs mal en apps móviles puede exponer costes y datos.
- Por qué importa: Es un aviso directo para cualquier pyme que meta OpenAI/Anthropic/Gemini en mobile o frontend sin arquitectura segura.

## Evidencia reportada

- **reported-result**: This indicates that an adversary can perform a compound attack from a single interception, gaining both unrestricted inference access and direct extraction of proprietary system prompts that encode the App’s core business logic. [localizador](https://arxiv.org/html/2606.12212#S4)
- **reported-result**: Such unauthenticated endpoints effectively create an open relay that we categorize as Fully Exploitable , since an adversary can simply obtain the endpoint URL and request structure from an intercepted request and gain unrestricted access to the underlying LLM service without requiring any credentials. [localizador](https://arxiv.org/html/2606.12212#S4)
- **reported-result**: In our evaluation, we found that many captured JWT tokens remained valid at the time of testing, allowing us to replay them against the same backend endpoint with arbitrary prompts. [localizador](https://arxiv.org/html/2606.12212#S4)
- **reported-result**: 8, 13, 5, and 4 Apps employing packet capture resistance, custom encryption, anti-detection, and WebSocket (WS) channels, respectively, all achieved a 0% bypass rate. [localizador](https://arxiv.org/html/2606.12212#S4)

## Lectura y límite

- Método: La lectura de 3. Methodology describe la intervención y su construcción: Our methodology includes four phases (as shown in Figure 2 ). We first construct a curated dataset of LLM-integrated iOS applications through App Store crawling and manual screening (Section 3.1 ). We then intercept runtime network traffic to extract candidate credentials (Section 3.2 ). Next, we validate credential exploitability and initiate responsible disclosure (Section 3.3 ). Finally, we classify each application by leakage prevalence ( RQ1 ), transmission mechanism ( RQ2 ), anti-interception defenses ( RQ3 ), and remediation effectiveness ( RQ4 ). We focus on free iOS Apps that integrate LLM functionality…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 4. Major Findings.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: In future work, we plan to collaborate with LLM providers on server-side anomaly detection for compromised credentials, and to develop automated remediation tooling that generates secure proxy scaffolding with proper authentication.
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 4. Major Findings.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/abs/2606.12212): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2606.12212): tipo abstract
- [Método · 3. Methodology](https://arxiv.org/html/2606.12212#S3): tipo section
- [Evaluación · 4. Major Findings](https://arxiv.org/html/2606.12212#S4): tipo section
- [Cierre · 7. Conclusion](https://arxiv.org/html/2606.12212#S7): tipo section

## Próxima prueba

- ¿La propuesta mejora auditorías de seguridad frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [https://github.com/KJCracks/Clutch](https://github.com/KJCracks/Clutch)
- [the following issues](https://github.com/arXiv/html_feedback/issues)
- [list of packages that need conversion](https://github.com/brucemiller/LaTeXML/wiki/Porting-LaTeX-packages-for-LaTeXML)
- [developer contributions](https://github.com/brucemiller/LaTeXML/issues)

## Enlaces relacionados

- [Workflow-GYM](https://luiseduardodemiguel.com/research-ia/markdown/papers/workflow-gym-towards-long-horizon-evaluation-of-computer-use-agentic-tas)
- [Minim](https://luiseduardodemiguel.com/research-ia/markdown/papers/minim-privacy-aware-minimal-view-for-agents-via-trusted-local-sanitizati)
- [FactoryLLM](https://luiseduardodemiguel.com/research-ia/markdown/papers/factoryllm-a-safe-and-open-source-ai-playground-for-evaluating-llms-in-s)