54 000 € en 13 heures : une clé navigateur Firebase utilisée pour Gemini

Peu après avoir activé Firebase AI Logic dans un projet existant, l'auteur du message a vu du trafic Gemini automatisé passer par la clé d'API navigateur que Firebase avait créée pour le projet. La clé n'avait aucune restriction d'API. Selon ses mots : "The traffic was not correlated with our actual users and appeared to be automated." (« le trafic n'avait aucun lien avec nos utilisateurs réels et semblait automatisé »).

Environ 28 000 € s'étaient accumulés avant qu'ils ne puissent réagir, et le total a dépassé 54 000 € en environ 13 heures. Ils avaient une alerte budgétaire de 80 € et une alerte d'anomalie de coûts ; les deux se sont déclenchées avec des heures de retard. Le fil est arrivé en première page de Hacker News.

Le support Google Cloud a qualifié l'utilisation de légitime et refusé tout ajustement de facturation. Un employé de Google a répondu dans le fil au sujet de nouvelles protections (plafonds de dépenses et projet de désactiver les clés non restreintes) et a invité l'auteur à prendre contact. Le fil ne montre pas d'issue finale.

• Restreindre la clé Firebase. Limiter la clé navigateur aux API utilisées par l'application, ou protéger AI Logic avec App Check, ferme la porte par laquelle ce trafic est passé.
• Ne pas compter sur l'alerte budgétaire. Une alerte de 80 € qui se déclenche avec des heures de retard est une notification après coup (pourquoi les alertes arrivent en retard).
• Agir sur l'utilisation en quelques minutes. L'utilisation de tokens d'AI Logic arrive dans Cloud Monitoring en quelques minutes. Une règle de pic sur cette métrique, avec un Soft Kill qui coupe les fonctionnalités d'IA ou un Hard Kill en dernier recours, aurait arrêté les dépenses dès la première heure.