Las claves de Google Maps/Cloud API (Interfaz de programación de aplicaciones) que antes eran seguras de publicar, ahora pueden utilizarse, en muchos casos, como credenciales reales de Gemini AI. Esto significa que cualquier clave que se encuentre en JavaScript público o en el código de una aplicación puede ahora permitir a los atacantes conectarse a Gemini a través de su API, acceder a datos o acumular la factura de otra persona.
Los investigadores encontraron alrededor de 2800 claves API de Google activas en código público que pueden autenticarse en Gemini, incluidas claves pertenecientes a importantes empresas financieras, de seguridad, de contratación e incluso a la propia Google.
Históricamente, las claves API de Google Cloud para servicios como Maps, YouTube , Firebase, etc., se trataban como identificadores de facturación no confidenciales, y las propias directrices de Google permitían incorporarlas en el código del lado del cliente.
Si comparamos este problema con la reutilización de contraseñas en diferentes sitios y plataformas, vemos que el uso de un único identificador puede convertirse en una llave maestra para acceder a activos más valiosos de lo que los usuarios o desarrolladores jamás hubieran imaginado.
La diferencia clave radica en quién asume la responsabilidad. En el caso de la reutilización de contraseñas, se advierte explícitamente a los usuarios finales. Todos los servicios les indican que elijan contraseñas únicas, y la comunidad de seguridad lleva años insistiendo en este mensaje. Si se reutiliza la misma contraseña en tres sitios web y una brecha de seguridad compromete a todos ellos, el riesgo proviene de una decisión del usuario, aunque esa decisión se haya tomado por motivos de comodidad.
Con las claves API de Google, los desarrolladores y los equipos de seguridad seguían las directrices históricas de Google, según las cuales estas claves eran solo identificadores de facturación seguros para su exposición por parte del cliente. Cuando se activó Gemini, esas antiguas claves API pasaron a funcionar de repente como credenciales de autenticación reales.
Desde la perspectiva de un atacante, la reutilización de contraseñas significa que se puede tomar una credencial robada de un sitio vulnerable y volver a utilizarla en cuentas de correo electrónico, bancarias o en la nube mediante el relleno de credenciales. El cambio de Gemini significa que una clave que originalmente se consideraba en el modelo mental de todos como «solo para Maps» ahora funciona contra un punto final de IA que puede estar conectado a documentos, calendarios u otros flujos de trabajo confidenciales. También se puede utilizar de forma indebida para agotar el presupuesto en la nube de alguien a gran escala.
Cómo mantenerse seguro
La diferencia con este caso de lo que en realidad es reutilización de contraseñas es que, en esta ocasión, se ha incorporado de forma efectiva en el diseño, en lugar de haber sido elegido por los usuarios.
El problema principal es que Google utiliza un único formato de clave API para dos fines fundamentalmente diferentes: la identificación pública y la autenticación confidencial. La API Gemini heredó una arquitectura de gestión de claves creada para un fin diferente.
Los investigadores afirman que Google ha reconocido el problema que denunciaron y ha tomado medidas significativas, pero aún no ha solucionado la causa principal.
Consejos para desarrolladores
Los desarrolladores deben comprobar si Gemini (API de lenguaje generativo) está habilitado en sus proyectos y auditar todas las claves API de su entorno para determinar si alguna está expuesta públicamente y rotarlas inmediatamente.
- Comprueba todos los proyectos de Google Cloud Platform (GC) para la API Generative Language. Ve a la consola de GCP, navega hasta API y servicios > API y servicios habilitados y busca la API Generative Language. Hazlo para todos los proyectos de tu organización. Si no está habilitada, este problema específico no te afecta.
- Si la API de lenguaje generativo está habilitada, audite sus claves API. Vaya a API y servicios > Credenciales. Comprueba la configuración de cada clave API. Hay dos tipos de claves:
- Las claves que muestran un icono de advertencia, lo que significa que están configuradas como sin restricciones.
- Claves que enumeran explícitamente la API del lenguaje generativo en sus servicios permitidos.
Cualquiera de las dos configuraciones permite que la clave acceda a Gemini.
- Verifique que ninguna de esas claves sea pública. Este es un paso fundamental. Si encuentra una clave con acceso a Gemini incrustada en JavaScript del lado del cliente, registrada en un repositorio público o expuesta de alguna otra forma en línea, tiene un problema. Comience primero con sus claves más antiguas. Esas son las que más probablemente se hayan implementado públicamente bajo la antigua directriz de que las claves API son seguras para compartir, y luego obtuvieron privilegios Gemini de forma retroactiva cuando alguien de su equipo habilitó la API. Si encuentra una clave expuesta, cámbiela.
Consejos para particulares
Para los usuarios habituales, no se trata tanto de la gestión de claves como de mantener su cuenta de Google bloqueada y ser cautelosos con el acceso de terceros.
- Solo vincula Gemini a cuentas o almacenes de datos (Drive, Mail, Calendar, sistemas empresariales) con los que te sientas cómodo al estar accesible a través de API y revisa periódicamente qué integraciones y aplicaciones de terceros tienen acceso a tu cuenta de Google.
- Al evaluar aplicaciones que integran Gemini (extensiones de navegador, herramientas SaaS, aplicaciones móviles), da preferencia a aquellas que realizan llamadas Gemini desde su backend en lugar de directamente desde tu navegador.
- Si utiliza Gemini a través de un proyecto de Google Cloud (por ejemplo, si es un usuario avanzado o lo utiliza para trabajar), supervise los informes de facturación y los registros de uso de GCP para detectar actividades inusuales en Gemini, especialmente picos que no coincidan con su propio uso.
No nos limitamos a informar sobre la privacidad: le ofrecemos la opción de utilizarla.
Los riesgos Privacy nunca deben ir más allá de un titular. Mantenga su privacidad en línea utilizando Malwarebytes Privacy VPN.
