€54.000 em 13 horas: uma chave de navegador do Firebase usada para o Gemini

Pouco depois de ativar o Firebase AI Logic em um projeto existente, o autor do post viu tráfego automatizado do Gemini passando pela chave de API de navegador que o Firebase havia criado para o projeto. A chave não tinha restrições de API. Nas palavras do autor: "The traffic was not correlated with our actual users and appeared to be automated." ("o tráfego não tinha relação com nossos usuários reais e parecia ser automatizado.")

Cerca de €28.000 já tinham se acumulado antes que eles pudessem reagir, e o total passou de €54.000 em cerca de 13 horas. Eles tinham um alerta de orçamento de €80 e um alerta de anomalia de custos; ambos dispararam com horas de atraso. A thread chegou à página inicial do Hacker News.

O suporte do Google Cloud classificou o uso como válido e negou um ajuste na cobrança. Um funcionário do Google respondeu na thread falando de novas proteções (limites de gastos e planos para desativar chaves sem restrições) e pediu ao autor que entrasse em contato. A thread não mostra uma resolução final.

• Restringir a chave do Firebase. Limitar a chave de navegador às APIs que o app usa, ou proteger o AI Logic com App Check, fecha a porta por onde esse tráfego entrou.
• Não depender do alerta de orçamento. Um alerta de €80 que dispara com horas de atraso é uma notificação depois do fato (por que os alertas atrasam).
• Agir com base no uso em minutos. O uso de tokens do AI Logic chega ao Cloud Monitoring em minutos. Uma regra de pico sobre ele, com um Soft Kill que desliga os recursos de IA ou um Hard Kill como último recurso, teria interrompido os gastos na primeira hora.