54.000 € en 13 horas: una clave de navegador de Firebase usada para Gemini

Poco después de activar Firebase AI Logic en un proyecto existente, el autor de la publicación vio tráfico automatizado de Gemini que entraba por la clave de API de navegador que Firebase había creado para el proyecto. La clave no tenía restricciones de API. En palabras del autor: "The traffic was not correlated with our actual users and appeared to be automated." («El tráfico no se correspondía con nuestros usuarios reales y parecía automatizado.»)

Se acumularon unos 28.000 € antes de que pudieran reaccionar, y el total superó los 54.000 € en unas 13 horas. Tenían una alerta de presupuesto de 80 € y una alerta de anomalías de costes; ambas saltaron con horas de retraso. El hilo llegó a la portada de Hacker News.

El soporte de Google Cloud lo calificó de uso válido y denegó un ajuste de facturación. Un empleado de Google respondió en el hilo hablando de nuevas salvaguardas (límites de gasto y planes para desactivar las claves sin restricciones) y pidió al autor que se pusiera en contacto. El hilo no muestra una resolución final.

• Restringir la clave de Firebase. Limitar la clave de navegador a las API que usa la app, o proteger AI Logic con App Check, cierra la puerta por la que entró este tráfico.
• No depender de la alerta de presupuesto. Una alerta de 80 € que salta con horas de retraso es una notificación a toro pasado (por qué las alertas llegan tarde).
• Actuar sobre el uso en minutos. El uso de tokens de AI Logic llega a Cloud Monitoring en minutos. Una regla de picos sobre él, con un Soft Kill que desactive las funciones de IA o un Hard Kill como último recurso, habría detenido el gasto en la primera hora.