54.000 € in 13 ore: una chiave browser Firebase usata per Gemini

Poco dopo aver attivato Firebase AI Logic in un progetto esistente, l'autore del post ha visto traffico Gemini automatizzato passare attraverso la chiave API browser che Firebase aveva creato per il progetto. La chiave non aveva restrizioni sulle API. Con le parole dell'autore: "The traffic was not correlated with our actual users and appeared to be automated." (cioè, «il traffico non era correlato ai nostri utenti reali e sembrava automatizzato»).

Circa 28.000 € si erano accumulati prima che potessero reagire, e il totale ha superato 54.000 € in circa 13 ore. Avevano un avviso di budget da 80 € e un avviso di anomalia dei costi; entrambi sono scattati con ore di ritardo. Il thread è arrivato in prima pagina su Hacker News.

Il supporto Google Cloud l'ha considerato utilizzo valido e ha negato una rettifica della fatturazione. Un dipendente Google ha risposto nel thread parlando di nuove protezioni (limiti di spesa e piani per disattivare le chiavi senza restrizioni) e ha chiesto all'autore di mettersi in contatto. Il thread non mostra una soluzione definitiva.

• Limitare la chiave Firebase. Limitare la chiave browser alle API usate dall'app, o proteggere AI Logic con App Check, chiude la porta da cui è entrato questo traffico.
• Non affidarsi all'avviso di budget. Un avviso da 80 € che scatta con ore di ritardo è una notifica a cose fatte (perché gli avvisi sono in ritardo).
• Agire sull'utilizzo entro pochi minuti. L'utilizzo di token di AI Logic arriva a Cloud Monitoring in pochi minuti. Una regola sui picchi, con un Soft Kill che disattiva le funzionalità di IA o un Hard Kill come ultima risorsa, avrebbe fermato la spesa nella prima ora.