Chyba v API tokenu Gemini Live: Chybějící pole umožnilo útočníkům unést AI hlasové relace

Koncem června 2026 publikoval bezpečnostní výzkumník Alvin Ferdiansyah podrobný popis toho, co označil jako kritickou chybu v systému dočasných tokenů (ephemeral tokens) API Gemini Live od Googlu. Tato chyba, pokud se potvrdí, umožňuje útočníkovi, který získá krátkodobý WebSocket token, unést hlasovou relaci AI v prohlížeči – ovládnout model, systémovou instrukci i nástroje, které může relace spouštět.

Jádrem zranitelnosti je chybějící bezpečnostní pole při vytváření tokenu. Zde je to, co víme, co zůstává nepotvrzeno a jak mohou vývojáři chránit svá nasazení.

Jak funguje systém dočasných tokenů Gemini Live API

Gemini Live API podporuje WebSocket spojení mezi prohlížečem a serverem pomocí dočasných tokenů (ephemeral tokens) – krátkodobých autentizačních tokenů, které rychle vyprší a lze je omezit na konkrétní použití . Tyto tokeny vytváří backendový server a předává je klientovi, který je použije k přímému připojení k Gemini API, aniž by byl vystaven skutečný API klíč.

Dokumentace Googlu vysvětluje, že dočasné tokeny jsou navrženy pro implementace typu klient-server, kde je bezpečnost důležitá, protože i v případě extrakce z prohlížeče jejich krátká životnost omezuje škody . Koncový bod pro tato omezená připojení se jmenuje BidiGenerateContentConstrained a přijímá dočasný token jako parametr dotazu access_token .

Chybějící pole live_connect_constraints

Podle Ferdiansyahova zápisu referenční implementace pro vytváření tokenů vynechala pole live_connect_constraints . Toto pole má obsahovat objekt bidi_generate_content_setup, který váže token na konkrétní model, systémovou instrukci a sadu nástrojů.

Když je live_connect_constraints prázdný nebo chybí, nejsou vynuceny žádné limity. Útočník, který získá dočasný token, pak může odeslat setup frame řízený klientem s libovolným modelem, systémovou instrukcí a nástroji. Server, který postrádá hodnoty vázané na token k ověření, přijme konfiguraci útočníka.

Důležité upozornění: Poskytnuté zdroje neobsahují oficiální dokumentaci Googlu k live_connect_constraints, CVE ani bezpečnostní doporučení Googlu potvrzující toto chování. Tvrzení pochází z Ferdiansyahova příspěvku na Medium a mělo by být považováno za neověřené, ale pravděpodobné .

Dopad: Co by útočník mohl dělat s neomezeným tokenem

Pokud je zranitelnost skutečná, důsledky jsou významné pro jakoukoli aplikaci používající Gemini Live API v prohlížeči:

• Spouštění kódu v sandboxu pomocí nástrojů – Příklady Gemini Live API zahrnují podporu na straně klienta pro přidávání vlastních nástrojů . Útočník, který může vložit škodlivou definici nástroje, by potenciálně mohl spouštět kód v sandboxu aplikace.
• Zneužití výpočetních zdrojů – Unesená relace spotřebovává kvótu a fakturaci napadené aplikace. Protože dočasné tokeny jsou navrženy pro jednorázová připojení, útočník by mohl opakovaně žádat o nové tokeny přes koncový bod pro vytváření na backendu, což by potenciálně zvyšovalo náklady .
• Manipulace s promptem – Ovládání setup frame znamená ovládání systémové instrukce. Útočník by mohl relaci zneužít k extrakci citlivých informací, generování škodlivého obsahu nebo k vydávání se za důvěryhodného agenta .
• Opakované zneužívání relace – Živé API relace mají limit připojení přibližně 10 minut . Útočník by se musel znovu připojit, ale pomocí stejného toku neomezeného tokenu by mohl relaci opakovaně unášet.

Vývojáři na fóru Google AI hlásili problémy s dočasnými tokeny, které ignorují systémové instrukce a nefungují podle očekávání s omezenými koncovými body, což naznačuje, že celý ekosystém stále dozrává .

Oprava na jedno pole

Náprava popsaná Ferdiansyah je přímočará: při vytváření tokenu je třeba vyplnit pole

live_connect_constraints.bidi_generate_content_setup

1. model – Přesný model Gemini k použití (např. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction – Zamýšlená systémová instrukce, strukturovaná jako parts obsahující text.
3. tools – Prázdné pole [] nebo pouze explicitně povolené nástroje, aby se zabránilo injektáži na straně klienta.

Zde je ilustrativní Python kód z Ferdiansyahova zápisu :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Jste asistent zákaznické podpory..."}]
            },
            "tools": []
        }
    }
})

Poznámka: Protože live_connect_constraints není zdokumentováno v oficiálním API reference Googlu, tento příklad vychází z Ferdiansyahova vlastního popisu a měl by být před produkčním nasazením otestován proti skutečnému API .

Co zůstává nepotvrzeno

Následující klíčové body zůstávají poskytnutými zdroji neověřeny:

• Neexistuje žádná oficiální dokumentace Googlu potvrzující existenci nebo schéma live_connect_constraints.
• Nebylo zveřejněno žádné CVE ani bezpečnostní doporučení.
• Nezávislá reprodukce zneužití není ve zdrojích zahrnuta.
• Přesné chování koncového bodu BidiGenerateContentConstrained při přijetí neomezeného tokenu není v poskytnutých oficiálních referencích zdokumentováno .

Co by měli vývojáři udělat teď

Dokud Google nezveřejní oficiální doporučení, nejbezpečnějším přístupem je považovat zranitelnost za pravděpodobnou a aplikovat opravu proaktivně:

1. Auditujte svůj kód pro vytváření dočasných tokenů – Zkontrolujte, zda váš backend vyplňuje live_connect_constraints nebo jeho ekvivalent.
2. Nikdy nevystavujte surové API klíče – Vždy používejte dočasné tokeny pro připojení z prohlížeče .
3. Nastavte krátkou dobu platnosti tokenu – Google doporučuje newSessionExpireTime kolem 60 sekund, aby se omezilo okno pro krádež tokenu .
4. Validujte setup frame na straně serveru – I když klienti posílají vlastní konfiguraci, váš backend by měl vynucovat zamýšlený model, prompt a nástroje.
5. Monitorujte zneužití – Sledujte neobvyklé vzorce relací, zejména opakovaná připojení ze stejného tokenu nebo neočekávaná volání nástrojů.

Gemini Live API je mocný nástroj pro vytváření hlasových a video zážitků v reálném čase. Jediné chybějící pole v procesu vytváření tokenu by nemělo tuto schopnost podkopat – ale vývojáři se musí ujistit, že jejich implementace jsou kompletní.

Tento článek byl fakticky ověřen proti 27 poskytnutým zdrojům, včetně oficiální dokumentace Googlu, diskusí na komunitním fóru a původního zápisu výzkumníka. Klíčová tvrzení výzkumníka nebylo možné v době publikace nezávisle ověřit z oficiálních zdrojů.