82.314 $ in 48 ore: una chiave Maps pubblica che poteva chiamare Gemini

Una startup messicana di tre persone spendeva di solito circa 180 $ al mese su Google Cloud. La sua chiave API era incorporata nel codice del sito web per usare un servizio Maps, cosa normale per le chiavi browser. Poi un membro del team ha attivato la Gemini API sullo stesso progetto, e quella chiave pubblica all'improvviso poteva chiamare anche Gemini.

La chiave è stata sfruttata l'11 e il 12 febbraio 2026, e circa 82.314,44 $ di addebiti Gemini si sono accumulati in circa 48 ore. Lo sviluppatore, citato da The Register dal suo post su Reddit: "I am in a state of shock and panic right now" (cioè, «in questo momento sono sotto shock e nel panico»). La società di sicurezza Truffle Security ha trovato 2.863 chiavi attive esposte allo stesso modo.

Lo sviluppatore ha eliminato la chiave, disattivato Gemini e ruotato le credenziali. Il supporto Google ha richiamato il modello di responsabilità condivisa e ha detto che gli addebiti restavano. Non è stato segnalato alcun rimborso.

• Limitare la chiave. Una chiave browser limitata alle API Maps di cui ha bisogno non può chiamare Gemini, qualunque altra cosa sia attivata sul progetto.
• Una quota sull'API costosa. Una quota giornaliera di richieste sulla Gemini API limita quanto può spendere una chiave rubata (come impostare i limiti).
• Rilevamento dei picchi a partire da zero. Un servizio senza alcun utilizzo che all'improvviso riceve migliaia di richieste è l'anomalia più evidente possibile. Monitorare l'utilizzo di Gemini l'avrebbe segnalata in pochi minuti, e un'azione automatica avrebbe potuto fermarla il primo giorno invece del terzo.