Хакеры умыкнули API-ключ Gemini и израсходовали $82000 🤯

Мексиканский стартап из трех человек внезапно получил от Google счет на $82 000 за двое суток использования нейросети Gemini.Неизвестные хакеры умыкнули их API-ключ и на все деньги крутили тяжелые модели для генерации текстов и картинок. Для понимания масштаба трагедии: обычно ребята платили $180 в месяц.

Разработчик обратился в Google, а там сослались на "модель общей ответственности": мы защищаем платформу, а ключи ваша проблема. Если Google попытается взыскать хотя бы треть суммы, компания обанкротится.

Исследователи из Truffle Security раскопали, как именно массово утекают эти токены. Оказывается, старые ключи, которые годами использовались для Google Maps или Firebase, исторически вообще не считались секретом. Сама официальная документация прямым текстом советовала разработчикам вставлять их прямо в открытый HTML-код сайта. Но когда поисковик выкатил свое API для Gemini, эти же самые публичные идентификаторы внезапно стали давать полный доступ к дорогой языковой модели.

Естественно, когда безопасники принесли этот баг-репорт, в Google сначала отмахнулись: "Всё работает штатно". И только когда исследователи ткнули инженеров носом в то, что из-за этой дыры можно выдоить инфраструктуру самого Гугла, статус бага резко повысили до критического. Сейчас компания судорожно пытается прикрутить проактивные блокировки для утекших ключей, вот только счет мексиканскому бедолаге пока так никто и не аннулировал.

🥸 godnoTECH - Новости IT