開発者によると、盗まれたGoogle Gemini APIキーにより、わずか48時間で大量の使用料が発生した結果、同社は82,000ドル以上の不正請求の責任を負うことになったという。
「今、私はショックとパニックの状態にあります」と開発者はRedditに書きました。同社のGoogle Cloud APIキーが2月11日から2月12日の間にどういうわけか漏洩し、その間に不明な悪人たちがそのキーを使用して$82,314.44を費やし、主にGemini 3 Pro ImageとGemini 3 Pro Textに使用したことを詳しく説明しました。
3人の開発者を抱えるメキシコに拠点を置く同社の通常の月間支出が180ドルであることを考えると、これはかなりな跳ね上がりです。これは約46,000パーセントの増加でした。
漏洩したキーを削除し、Gemini APIを無効にし、認証情報をローテーションし、その他のセキュリティ対策を講じた後、開発者はGoogleでサポートケースを開きましたが、進展がなかったと述べています。
Googleの代表者は同社の共有責任モデルを引用したとのことで、Googleがプラットフォームを保護し、ユーザーが自分のツールを保護する必要があると述べ、Chocolate Factoryは開発者に不正なAPI使用料金を請求する必要があると述べました。
開発者は「これは本当に心配です。Googleがこの金額の3分の1でも強制しようとすれば、弊社は破産します。私たちはかろうじて生き残り、私たちの製品の1つが機能することを願っています」と書きました。
彼は懸念事項を共有していないだけでなく、APIキーの漏洩を経験していない可能性があります。
それ以上の多くのケース
Truffle Securityの研究者は数百万のウェブサイトをスキャンし、2,863個のライブGoogle APIキーを発見しました。これらのキーはもともとプロジェクト識別子として請求目的で使用されていましたが、現在はGeminiの認証にも使用され、攻撃者が機密データにアクセスでき、他人のアカウントで不正な請求を発生させることができます。
「有効なキーがあれば、攻撃者はアップロードされたファイル、キャッシュされたデータにアクセスでき、LLM使用をアカウントに請求できます」とTruffle研究者のJoe Leonは2月25日のブログ投稿で述べました。
The RegisterはRedditの投稿者に連絡しており、返答があればより詳しい情報をお伝えします。Googleは開発者に請求書の支払いを強制するか、それとも自社で負担するかについての質問への回答を拒否しました。
しかし、Truffleのブログへの対応として、Googleのスポークスパーソンは同社がこのレポートを認識しており、「研究者と協力して問題に対処した」と述べました。
「ユーザーのデータとインフラストラクチャの保護が最優先事項です」とスポークスパーソンは付け加えました。「漏洩したAPIキーがGemini APIへのアクセスを試みるのを検出してブロックするためのプロアクティブな対策をすでに実装しています。」
この欠陥はGoogle CloudのAPIキーの形式から生じており、「AIza」という文字列で始まるため、見つけやすくなっています。
GoogleのMapsおよびFirebaseサービスのドキュメンテーションでは、APIキーはシークレットではなく、Firebaseプロジェクトを識別するために使用されると記載されています。Mapsの場合、Googleは開発者にキーをHTMLに直接貼り付けるよう指示しています。
これは、APIキーが認証認証情報として使用することを意図されていなかったためです。Geminiが登場するまで。Leonが説明したように：
Truffle研究者は、2023年に公開されているGoogle製品のウェブサイトから展開された公開プロジェクト識別子としてのキーの例を含む、すべてをGoogleに提示しました。現在はGemini APIアクセスを許可します。この最後の部分がGoogleの注意を引きました。
Googleの脆弱性開示プロジェクトチームが2025年11月に最初はレポートを却下し、それが単に「意図された動作」であると判断した後、Truffleは反発し、12月1日にGoogleのインフラストラクチャ自体から例を提供しました。
その後、Googleはレポートを「顧客の問題」から「バグ」に再分類し、深刻度をアップグレードし、2,863個の公開されたキーのリストを要求して修正に取り組み始めました。
2月2日の時点で、Googleはその根本原因の修正に取り組んでいることをTruffleに伝えました。Leonは、彼のチームはまだ「具体的な結果」を見ていないと指摘しています。
それまでの間、Google CloudとそのサービスをこのようにしたのはTruffle SecurityのオープンソースシークレットスキャンツールであるTruffleHogを使用して、コード、CI/CDパイプライン、ウェブアセットをスキャンして漏洩したGoogle APIキーを探すことができます。
「ここで発見したパターン（公開識別子が静かに機密権限を取得する）はGoogleに限定的ではありません」とLeonは書きました。「より多くの組織が既存のプラットフォームにAI機能を追加するにつれて、レガシー認証情報の攻撃サーフェスは誰も予想していない方法で拡大します」®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2026/03/03/gemini_api_key_82314_dollar_charge/
