CloudSEK: ключи API Google незаметно получают доступ к Gemini на устройствах Android
Изображение: Brett Jordan (unsplash)
Компания CloudSEK обнаружила, что архитектура API-ключей Google открывает мобильным приложениям незапланированный доступ к Gemini — и разработчики об этом зачастую не подозревают. Из почти 10 000 проверенных Android-приложений в 22 нашлись 32 активных уязвимых ключа, а суммарная аудитория этих программ превышает 500 млн установок.
Потери уже исчисляются реальными деньгами — один разработчик потерял 15 400 долларов за несколько часов, другая организация недосчиталась 128 000 долларов.
Проблема уходит корнями в устаревший формат ключей, который Google изначально проектировал под публичные сервисы — карты, облачные инструменты и подобное. Как только разработчик подключает Gemini в проекте Google Cloud, старые ключи автоматически получают доступ к ИИ-интерфейсам — никаких предупреждений, никакого подтверждения. Раньше такие ключи без опасений встраивали прямо в клиентский код, сейчас они фактически превратились в полноценные учётные данные с расширенными правами.
В ходе проверки исследователи через Gemini Files добрались до пользовательских аудиофайлов — метаданных, временных отметок, ссылок на контент. Всё это без каких-либо разрешений со стороны владельцев данных.
Мобильные приложения делают ситуацию хуже — их пакеты несложно распаковать и разобрать, после чего встроенные ключи оказываются в открытом доступе. Нередко одни и те же ключи переходят из версии в версию, и срок их эксплуатации растягивается на месяцы. Последствия разнообразны — утечка файлов, обрабатываемых Gemini, неконтролируемые расходы на API, сбои из-за исчерпания квот.
CloudSEK советует регулярно проверять облачные проекты, обновлять ключи и жёстко ограничивать область их применения. Google комментарий по ситуации так и не дал.
