US$ 82.314 em 48 horas: uma chave pública do Maps que podia chamar o Gemini

Uma startup de três pessoas no México costumava gastar cerca de US$ 180 por mês no Google Cloud. Sua chave de API estava incorporada ao código do site para usar um serviço do Maps, o que é normal para chaves de navegador. Então um colega ativou a API do Gemini no mesmo projeto, e aquela chave pública de repente também podia chamar o Gemini.

A chave foi usada de forma abusiva em 11 e 12 de fevereiro de 2026, e cerca de US$ 82.314,44 em cobranças do Gemini se acumularam em aproximadamente 48 horas. O desenvolvedor, citado pelo The Register a partir do post no Reddit: "I am in a state of shock and panic right now" ("estou em estado de choque e pânico agora"). A empresa de segurança Truffle Security encontrou 2.863 chaves ativas expostas da mesma forma.

O desenvolvedor excluiu a chave, desativou o Gemini e trocou as credenciais. O suporte do Google citou o modelo de responsabilidade compartilhada e disse que as cobranças seriam mantidas. Nenhum reembolso foi relatado.

• Restringir a chave. Uma chave de navegador restrita às APIs do Maps de que precisa não consegue chamar o Gemini, não importa o que mais esteja ativado no projeto.
• Uma cota na API cara. Uma cota diária de requisições na API do Gemini limita o quanto uma chave roubada pode gastar (como definir limites).
• Detecção de picos a partir do zero. Um serviço que não tinha uso nenhum e de repente tem milhares de requisições é a anomalia mais clara possível. Monitorar o uso do Gemini teria sinalizado o problema em minutos, e uma ação automática poderia tê-lo interrompido no primeiro dia, e não no terceiro.