67.000 $ in 19 Stunden: ein Firebase-Android-Schlüssel von 2016

Einem kleinen südkoreanischen Startup wurden zwischen dem frühen 18. April und dem Morgen des 19. April 2026 (koreanische Zeit) rund 67.000 $ berechnet. Ein Botnetz rief die Gemini API mit einem Android-API-Schlüssel auf, den Firebase bereits 2016 für das Projekt angelegt hatte.

Laut dem Verfasser war Googles Richtlinie vom Mai 2024, Schlüssel wie diesen automatisch zu beschränken, nie auf ihn angewendet worden, sodass ein zehn Jahre alter Schlüssel noch eine API erreichen konnte, die es bei seiner Erstellung gar nicht gab.

Die erste Anfechtung wurde abgelehnt; der Verfasser zitiert den Google-Support: "we are unable to make adjustments to these particular charges." (wir können an diesen konkreten Kosten keine Anpassungen vornehmen). Der Fall wurde über ihren Reseller eskaliert und lag laut dem Update des Verfassers vom 23. Mai noch beim Team für Ursachenanalyse von Google.

• Alte Schlüssel prüfen. Jeder Schlüssel, den ein Projekt je angelegt hat, kann jede später darin aktivierte API erreichen, sofern er nicht beschränkt ist. Prüfen Sie die Seite mit den Zugangsdaten alter Projekte und beschränken oder löschen Sie, was Sie nicht nutzen.
• Ein Kontingent für die teure API. Ein tägliches Anfragekontingent für Gemini begrenzt den Schaden durch jeden Schlüssel, ob alt oder neu.
• Spitzenerkennung mit automatischer Aktion. Gemini-Traffic aus einem Botnetz ist ein riesiger Sprung gegenüber einem normalen Tag. Innerhalb von Minuten erkannt und mit einem Soft Kill oder Hard Kill beantwortet, ist es ein schlechter Morgen, kein 67.000-$-Morgen.