Experten som knäckte EU:s åldersgräns-app varnar: Nästa steg blir att bevisa vem du är

Säkerhetskonsulten Paul Moore har återigen kringgått EU-kommissionens officiella åldersgräns-app, denna gång med en Chrome-extension han enligt egen utsago byggde på minuter med hjälp av en AI-assistent. Det är andra gången Moore forcerar systemet: den första bypassen skedde dagen efter att appen släpptes i sin så kallade feature ready-version den 15 april 2026.

Den nya bypassen riktar sig mot appversion 2026.07-1 och utnyttjar att den anonyma över-18-attestationen kan fångas upp och spelas om mot flera webbplatser, utan att någon kryptografi behöver forceras. Trots tre månaders säkerhetshärdning går det grundläggande problemet inte att lösa, skrev Moore på X den 14 juli 2026.

Kritiken går djupare än en bugg

Moores praktiska demonstration följer i spåren av en principiell kritik från en stor del av det europeiska säkerhetsforskarsamfundet. Tidigare i år undertecknade över 400 integritets- och säkerhetsforskare ett öppet brev där de krävde ett moratorium för utrullningen tills forskningen om åldersverifieringsteknik har mognat.

Bland kritikerna finns kryptografen och KU Leuven-professorn Bart Preneel, som pekar på att fokus på tekniska detaljer missar poängen. Invändningarna handlar enligt Preneel om något mycket mer grundläggande än en bugg i en app, och han varnar för att systemet i förlängningen kan tillåta regeringar att avslöja dem som anonymt kritiserar dem.

Miljonkontrakt och EU-täckande utrullning

Åldersgränslösningen har utvecklats av Scytáles och T-Systems på uppdrag av EU-kommissionen. Ramverket är tänkt att införas i samtliga medlemsstater före utgången av 2026 och bygger på samma tekniska specifikationer som den kommande europeiska digitala identitetsplånboken (EUDI).

Att lösningen är EU-gemensam betyder att också svenska internetanvändare kommer att möta den när plattformar och tjänster inom unionen aktiverar åldersverifiering. Kommissionen har marknadsfört appen som ett sätt att bevisa åldern utan att lämna ifrån sig identitetsuppgifter, och det är just det grundlöftet Moore menar nu vacklar.

Från åldersspärr till identitetskrav

Det som oroar Moore mest är inte de tekniska hålen i sig, utan vad ett misslyckande med anonym åldersverifiering kan leda till politiskt. Att kommissionen ändå driver projektet vidare i barnsäkerhetens namn är enligt honom ett upptrappningsspår där svaret på ett kollapsat anonymt system i stället blir att kräva att användaren bevisar sin identitet.

Det scenariot ligger nära Preneels varning. Om anonymiteten inte kan garanteras vid en teknisk verifiering av ålder riskerar den de facto-lösning som växer fram att bli en direktkoppling mellan användaren och varje digital handling, oavsett om det gäller en vuxensajt, ett spel eller ett debattinlägg. Moores egen slutsats efter två genomförda bypass är kort: anonym åldersverifiering fungerar inte.

Kommissionen har vid tidigare tillfällen tonat ned Moores fynd som demonstrationer i testmiljö, men den senaste bypassen är riktad mot den skarpa juli-versionen av appen.