کلیدهای API گوگل ۲۳ دقیقه بعد از حذف هنوز کار میکنن
هوش مصنوعیخلاصهٔ کاملتر
محققان امنیتی شرکت Aikido یه آسیبپذیری جدی در نحوهی ابطال کلیدهای API گوگل پیدا کردن: حتی بعد از اینکه یه کلید رو حذف میکنی، تا حدود ۲۳ دقیقه بعد هنوز میشه باهاش درخواستهای معتبر فرستاد. دلیلش اینه که حذف کلید بهصورت تدریجی در زیرساخت گوگل پخش میشه — بعضی سرورها کلید رو ظرف چند ثانیه رد میکنن، ولی بعضی دیگه تا ۲۳ دقیقه به اون پاسخ میدن.
این تیم طی ۱۰ آزمایش در دو روز این رفتار رو بررسی کرد: هر بار یه کلید API میساختن، حذفش میکردن، و بعد با ارسال ۳ تا ۵ درخواست در ثانیه چک میکردن که کلید کِی دیگه کار نمیکنه. آزمایشها از سه ناحیهی جغرافیایی (شرق آمریکا، غرب اروپا، و جنوبشرق آسیا) انجام شد.
جوزف لئون، محقق Aikido، گفته که یه مهاجم میتونه در این بازهی زمانی درخواستهای زیادی بفرسته تا شانسش برای رسیدن به سرورهایی که هنوز کلید رو قبول میکنن بالا بره. اگه پروژه به Gemini دسترسی داشته باشه، مهاجم میتونه فایلهای آپلودشده رو دانلود و مکالمات کششده رو استخراج کنه. نرخ موفقیت درخواستها هم بسیار متغیره — گاهی بیش از ۹۰٪ از درخواستها تأیید میشن و گاهی کمتر از ۱٪.
این مشکل وقتی با سیاست صورتحسابدهی جدید گوگل ترکیب میشه، خطرناکتر میشه. گوگل از آوریل ۲۰۲۶ سقف هزینهی کاربران رو بهصورت خودکار و بدون اطلاع اونها ارتقا میده. مثلاً اگه کاربری بیش از ۳۰ روز با گوگل کار کرده و بیش از ۱۰۰۰ دلار خرج کرده، سقف هزینهاش میتونه از ۲۵۰ دلار به ۱۰۰,۰۰۰ دلار برسه. چند توسعهدهنده به The Register گفتن که بعد از سرقت کلید APIشون، ظرف چند دقیقه با صورتحسابهای پنجرقمی روبرو شدن.
نکتهی جالب اینه که گوگل برای انواع دیگهای از اعتبارنامهها ابطال سریعتری داره: Service Accountها در حدود ۵ ثانیه ابطال میشن و فرمت جدیدتر کلید Gemini (که با AQ شروع میشه) در حدود یه دقیقه. این نشون میده که راهحل فنی وجود داره — ولی گوگل گزارش Aikido رو با وضعیت «Won't Fix (Infeasible)» بست و اعلام کرد که این تأخیر «عمدی» بوده.
نکات کلیدی:
- کلیدهای API گوگل تا ۲۳ دقیقه بعد از حذف هنوز قابل استفادهان
- مهاجمان میتونن در این بازه فایلها و مکالمات Gemini رو استخراج کنن یا هزینههای سنگین ایجاد کنن
- سیاست ارتقای خودکار سقف هزینه گوگل این آسیبپذیری رو تشدید میکنه
- Service Accountها در ۵ ثانیه ابطال میشن — یعنی مشکل فنی قابلحل بوده ولی گوگل نخواسته
- گوگل رسماً اعلام کرده که قصد برطرفکردن این مشکل رو نداره
