Turvauurijad Talal Haj Bakry ja Tommy Mysk avastasid, et Apple’i iCloud Private Relay ei ole nii privaatne, kui ettevõte väidab. Tasulise iCloud+ paketiga kaasnev Safari privaatsusteenus võimaldab ründajatel välja selgitada kasutaja tegeliku IP-aadressi. Sama probleem puudutab ka Onion Browseri iOS-i rakendust. Paljud veebisaidid võivad selle teabe juba kogunud olla.
Uurijad leidsid kolm WebKiti funktsiooni, mis mööduvad rakendustaseme puhvri seadetest: DNS-i eellaadimine, WebAuthn seotud päritolu päringud ja WebTransport. WebKit on Safari ja enamikus riikides kõigi iOS-i brauserite alus. Kõige tõsisem leke seostub WebAuthniga, mis on pääsukoodide standard. Veebileht võib taustal käivitada päringu, mille Apple’i mandaaditeenus hangib otse seadmest, mitte läbi Safari, paljastades tegeliku IP-aadressi ilma kasutajale märku andmata. See käitumine on esinenud alates iOS 18-st.
Private Relay ei ole tavapärane VPN ega tunnelda kõiki ühendusi operatsioonisüsteemi tasemel. DNS-i eellaadimine alates iOS 26-st võib paljastada tegelikud DNS-serverid ning WebTransport on alates iOS 26.4-st avanud otseseid HTTP/3 ühendusi, mis paljastavad seadme IP. 404 Media kinnitas, et uurijate tõestuskontseptsiooni sait näitas IP-aadressi, mida teenus oleks pidanud varjama.