論文の概要: Don't Trust the Super-App: A Case Study of Russia's Max

• arxiv url: http://arxiv.org/abs/2609.11814v1
• Date: Thu, 10 Sep 2026 17:08:00 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-11 23:53:35.453273
• Title: Don't Trust the Super-App: A Case Study of Russia's Max
• Title（参考訳）: スーパーアプリを信用しない:ロシアのマックスのケーススタディ
• Abstract要約: Super-Appsは、サードパーティのミニアプリを1つのアプリ内でホストする。 悪質なスーパーアプリが、ミニアプリのセキュリティとプライバシーを静かに損なう能力を持っていることを示す。
• 参考スコア（独自算出の注目度）: 6.434185166424619
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Super-apps, an emerging mobile architecture, host third-party mini-apps inside a single app, allowing users to access diverse services. A decade of security research on the super-app ecosystem has all assumed super-apps to be a trusted intermediary. We argue this implicit trust is difficult to justify: China's WeChat is already shown to passively track its user's activity across mini-apps at extraordinary scale; Russia's MAX's parent company is reported to be deeply entangled with the state prosecution of online speech; and Iran's Bale was reported to be functioning in the world's longest internet shutdown due to its state-backed support. In this paper, we show how malicious super-apps have undeniable capabilities to silently undermine the security and privacy of mini-apps and users without leaving any trace. Using MAX as an example, we show how it can capture mini-app UI, read and write mini-app local storage, inject arbitrary JavaScript into a mini-app's runtime, mediate mini-app network traffic, and control authentication context in ways that can enable silent user impersonation. Sadly, these capabilities manifest themselves in any super-app because of the architectural privileges granted to them by design. We argue that mobile OS and app store interventions are urgently needed to close this architectural blind spot before it is further exploited.
• Abstract（参考訳）: 新たなモバイルアーキテクチャであるSuper-appsは,ひとつのアプリ内にサードパーティのミニアプリをホストすることで,さまざまなサービスにアクセス可能にする。 スーパーアプリエコシステムに関する10年間にわたるセキュリティ研究は、すべてスーパーアプリが信頼できる仲介者であると仮定してきた。 中国のWeChatはすでに、ミニアプリ全体でユーザーの活動を受動的に追跡している。ロシアのMAXの親会社は、国家によるオンラインスピーチの起訴に深く絡んでいると報告されており、イランのBaleは、国家が支援するインターネットの閉鎖で機能していると報告されている。 本稿では,悪質なスーパーアプリが,痕跡を残さずに,ミニアプリやユーザのセキュリティとプライバシを静かに損なう能力を持っていることを示す。 MAXを例として、ミニアプリUIをキャプチャし、ミニアプリローカルストレージを読み書きし、任意のJavaScriptをミニアプリランタイムに注入し、ミニアプリネットワークトラフィックを仲介し、サイレントユーザ偽装を可能にする方法で認証コンテキストを制御する方法を示す。 残念なことに、これらの機能は、設計によって与えられるアーキテクチャ上の特権のために、あらゆるスーパーアプリケーションに現れます。 モバイルOSとアプリストアの介入は、さらに悪用される前に、このアーキテクチャの盲点を閉じるために緊急に必要である、と我々は主張する。

関連論文リスト

• TENET: Telegram Mini App (in)security [2.1793134762413433]
  多くのMini Appsは認証資料を保存し、ユーザーを不正アクセス、偽造、金銭的搾取にさらしている。 TENETは,設計決定を対象とする秘密の構造的特性に基づいて行う,汎用的な監査ツールである。 我々は,Telegramプラットフォーム開発者とサードパーティのMini Appクリエータに対して,緩和策とベストプラクティスを提案する。
  論文  参考訳（メタデータ） (2026-08-18T08:59:03Z)
• TeleGapper: On the (un)reliability of Privacy Policies in Telegram Mini apps [3.345437353879255]
  Telegram Mini Appsは、Telegramクライアント内に埋め込まれたWebアプリケーションである。 採用の増加とTelegramが提供するコンテキストへのアクセスにもかかわらず、彼らのプライバシー特性はほとんど解明されていない。 我々は,Mini Appsのプライバシ姿勢を評価するブラックボックス動的解析フレームワークであるTeleGapperを提案する。
  論文  参考訳（メタデータ） (2026-08-13T15:51:18Z)
• PhoneBuddy: Training Open Models for Agentic Phone Use [104.23243994660936]
  PhoneBuddyは、エージェント電話用のトレーニングレシピとオープンモデルラインである。 実際のGUI使用構造からモックアプリを再構築する、実アプリケーション環境とモックアプリ環境であるPhoneWorldを組み合わせる。 PhoneBuddyはまず、両方の環境で収集されたトラジェクトリから、共有された教師付き微調整ステージを構築し、その後、実アプリケーションRLと混合RLを比較した。
  論文  参考訳（メタデータ） (2026-06-22T08:57:54Z)
• ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? [92.21756459993695]
  低レベルのプログラム推論を必要とするため、爆発は難しい作業です。 その重要性と診断価値にもかかわらず、搾取は未評価のままである。 ExploitGymは、AIエージェントのエクスプロイト能力に関する大規模で多様な、現実的なベンチマークである。
  論文  参考訳（メタデータ） (2026-05-11T18:00:14Z)
• Do Phone-Use Agents Respect Your Privacy? [97.81424230136075]
  我々は,モバイルエージェントのプライバシ行動を評価するための検証可能なフレームワークであるMyPhoneBenchを紹介する。 プライバシを無視する電話を、最小限のプライバシ契約によって許可されたアクセス、最小限の開示、およびユーザ制御メモリとして運用する。 10のモバイルアプリと300のタスクで5つのフロンティアモデルにまたがって、タスクの成功、プライバシに準拠したタスク補完、保存された好みの後での利用が、それぞれ異なる機能であることに気付きました。
  論文  参考訳（メタデータ） (2026-04-01T14:50:50Z)
• OpenApps: Simulating Environment Variations to Measure UI-Agent Reliability [49.99934595922838]
  自律的なUIエージェントの約束を実現する上では、信頼性が重要です。 6つのアプリを備えた軽量なオープンソースエコシステムであるOpenAppsを開発しています。 我々は、7つの主要なマルチモーダルエージェントの信頼性を研究するために、1万以上の独立した評価を実行する。
  論文  参考訳（メタデータ） (2025-11-25T19:00:22Z)
• I Can Tell Your Secrets: Inferring Privacy Attributes from Mini-app Interaction History in Super-apps [14.642699257599991]
  本稿では,ミニアプリインタラクション履歴(Mini-H)と操作履歴(Op-H)という,スーパーアプリにおける新たなプライバシリークソースを明らかにする。 Mini-Hは、ユーザによってアクセスされる、頻度やカテゴリなどのミニアプリの歴史を指す。Ops-Hは、ボタンクリック、バードラッグ、イメージビューなど、ミニアプリ内のユーザインタラクションをキャプチャする。 我々は、この脆弱性を利用するために、ミニアプリケーションインタラクション履歴指向推論攻撃(THEFT)を設計する。
  論文  参考訳（メタデータ） (2025-03-13T10:29:40Z)
• Utilizing Large LanguageModels to Detect Privacy Leaks in Mini-App Code [19.7220607313348]
  ミニアプリケーション(ミニアプリケーション、mini-appplications)は、より大きなアプリケーションやプラットフォームに埋め込まれたコンパクトなソフトウェアプログラムである。 本稿では,WeChat Mini プログラム内のプライバシー侵害を検出するために,Large Language Models (LLMs) を用いることの可能性を検討する。
  論文  参考訳（メタデータ） (2024-02-12T01:55:40Z)
• MiniScope: Automated UI Exploration and Privacy Inconsistency Detection of MiniApps via Two-phase Iterative Hybrid Analysis [14.835715789786137]
  より大きなSuperApps内で運用されているMiniAppsは、個々のアプリのダウンロードを必要とせずに、幅広いサービスを提供することによって、ユーザエクスペリエンスに革命をもたらした。 既存のプライバシー規制とプラットフォームガイドラインにもかかわらず、ユーザーのプライバシーを完全に保護するための効果的なメカニズムが欠如している。 我々は,MiniApp環境向けに設計された新しい2相ハイブリッド分析手法であるMiniScopeを紹介する。
  論文  参考訳（メタデータ） (2024-01-06T13:54:36Z)
• Demystifying Removed Apps in iOS App Store [0.0]
  本稿は,iOSアプリストアにおける削除アプリについて,大規模かつ縦断的な調査を行うことを目的としている。 私たちの分析によると、削除されたアプリのほとんどは低品質のアプリだが、その多くがとても人気がある。
  論文  参考訳（メタデータ） (2021-01-13T14:34:26Z)
• Emerging App Issue Identification via Online Joint Sentiment-Topic Tracing [66.57888248681303]
  本稿では,MERITという新しい問題検出手法を提案する。 AOBSTモデルに基づいて、1つのアプリバージョンに対するユーザレビューに否定的に反映されたトピックを推測する。 Google PlayやAppleのApp Storeで人気のアプリに対する実験は、MERITの有効性を実証している。
  論文  参考訳（メタデータ） (2020-08-23T06:34:05Z)
• Mind the GAP: Security & Privacy Risks of Contact Tracing Apps [75.7995398006171]
  GoogleとAppleは共同で,Bluetooth Low Energyを使用した分散型コントラクトトレースアプリを実装するための公開通知APIを提供している。 実世界のシナリオでは、GAP設計は(i)プロファイリングに脆弱で、(ii)偽の連絡先を生成できるリレーベースのワームホール攻撃に弱いことを実証する。
  論文  参考訳（メタデータ） (2020-06-10T16:05:05Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。