Ключ API Google Gemini одного разработчика был украден, за 48 часов было потрачено более 80 000 долларов

IT之家 3 марта сообщает, что, по данным Tom’s Hardware, один пользователь Google Gemini разместил на Reddit пост, в котором заявил, что он «в шоке и в панике», причина — в счёте, который недавно получил его софтверный стартап.

Этот пользователь Reddit, RatonVaquero, обычно тратит на сервис Gemini AI всего 180 долларов в месяц (примечание IT之家: по текущему курсу примерно 1245 юаней). Однако за всего 48 часов прошлого месяца его счёт достиг 82 314,44 долларов (по текущему курсу примерно 569 тысяч юаней).

Кто-то взломал его аккаунт и безумно использовал Gemini 3 Pro для генерации большого количества изображений и текстов. Если Google не отменит эту огромную сумму, возникшую из-за подозрения, что API-ключ был украден, компания может обанкротиться.

Однако было уже поздно. RatonVaquero только сейчас предпринял ряд мер: удалил украденные ключи, отключил Gemini API, сменил учетные данные, включил двухфакторную аутентификацию на всех платформах, строго ограничил права IAM и подал заявку в поддержку. Но по предварительным ответам службы поддержки Google, скорее всего, пользователь всё равно должен будет оплатить этот счёт.

Из общения этого пользователя с Google видно, что компания, скорее всего, будет ссылаться на условия договора, в которых указано, что пользователи должны самостоятельно проходить аутентификацию, управлять доступом, обеспечивать сетевую безопасность и защищать API-ключи, чтобы снять с себя ответственность. Многие пользователи Reddit отмечают, что причина утечки API-ключа, возможно, кроется в самом Google — компания ослабила правила конфиденциальности API-ключей, что и позволило злоумышленникам воспользоваться этим.

Как один из трёх разработчиков пострадавшей мексиканской софтверной компании, RatonVaquero просит Google «пощадить» его и жалуется, что Google даже не предпринял базовых мер защиты от катастрофических сбоев в использовании.

Рост затрат с 180 долларов в месяц до более 82 тысяч за 48 часов — действительно крайний и аномальный скачок.

Он также отметил, что Google должен был предоставить временную услугу заморозки для проверки, а также возможность установить лимит на потребление API.

После расследования этого инцидента с астрономическим счётом можно сделать вывод:

Личные / обычные пользователи Gemini имеют ограничение по использованию и не выйдут за рамки фиксированной месячной платы;

Разработчики / коммерческие пользователи Google AI Studio могут устанавливать квоты (ограничения на количество запросов в день / минуту);

Пользователи Google Cloud (Vertex AI) могут настраивать уведомления о бюджете, при достижении определённой суммы они получают оповещение.

RatonVaquero заявил, что в ближайшее время снова свяжется со службой поддержки Google и уже подал заявление в ФБР о киберпреступлении. Сейчас он надеется только на смягчение позиции Google. Он планирует предоставить журнал с аномальным ростом использования в 455 раз и, в качестве жертвы кибербезопасности, подать заявку на доброжелательное снижение лимита.