Google Gemini Live API: Manglende felt åbnede for kapring af AI-stemmesessioner

Det manglende live_connect_constraints-felt

Ifølge Ferdiansyahs rapport udelod referenceimplementeringen for token-oprettelse live_connect_constraints-feltet ^A. Dette felt skal indeholde et bidi_generate_content_setup-objekt, der binder tokenet til en bestemt model, systeminstruktion og et sæt værktøjer.

Når live_connect_constraints er tomt eller fraværende, håndhæves ingen begrænsninger. En angriber, der får fat i det kortlivede token, kan derefter sende en klientstyret opsætningsramme (setup frame), der specificerer en hvilken som helst model, systemprompt og værktøjer efter eget valg. Serveren, der mangler token-bundne værdier at validere imod, accepterer angriberens konfiguration.

Vigtigt forbehold: De medfølgende kilder inkluderer ikke Googles officielle dokumentation for live_connect_constraints, en CVE eller en Google-sikkerhedsmeddelelse, der bekræfter denne adfærd. Påstanden stammer fra Ferdiansyahs Medium-indlæg og bør betragtes som ubekræftet, men plausibel ^A.

Konsekvenser: Hvad en angriber kunne gøre med et ubeskyttet token

Hvis sårbarheden er reel, er konsekvenserne betydelige for enhver applikation, der bruger Gemini Live API i en browserkontekst:

• Sandboxet kodeudførelse via værktøjer – Gemini Live API-eksemplerne inkluderer understøttelse på klientsiden for at tilføje brugerdefinerede værktøjer ^D. En angriber, der kan injicere en ondsindet værktøjsdefinition, kan potentielt udføre kode i applikationens sandkasse.
• Compute-misbrug – En kapret session forbruger offerapplikationens kvote og faktureringsallokering. Fordi kortlivede tokens er designet til engangsforbindelser, kan en angriber også gentagne gange anmode om nye tokens via backendens oprettelses-endepunkt, hvilket potentielt kan drive omkostningerne i vejret ^G.
• Prompt-manipulation – At kontrollere opsætningsrammen betyder at kontrollere systeminstruktionen. En angriber kan genbruge sessionen til at udtrække følsomme oplysninger, generere skadeligt indhold eller udgive sig for at være en betroet agent ^D.
• Gentaget misbrug af session – Live API-sessioner har en forbindelsesgrænse på cirka 10 minutter ^DD. En angriber ville skulle genoprette forbindelsen, men ved at bruge den samme ubeskyttede token-strøm kunne de gentagne gange genkapre sessionen.

Udviklere på Googles AI-forum har rapporteret problemer med kortlivede tokens, der ignorerer systeminstruktioner og ikke fungerer som forventet med begrænsede endepunkter, hvilket tyder på, at det bredere økosystem stadig er under udvikling ^DD.

Rettelsen med ét felt

Den remediering, Ferdiansyah beskriver, er ligetil: udfyld live_connect_constraints.bidi_generate_content_setup-feltet under token-oprettelse med tre værdier:

1. model – Den nøjagtige Gemini-model, der skal bruges (f.eks. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction – Den påtænkte systemprompt, struktureret som parts indeholdende text.
3. tools – En tom liste [] eller kun eksplicit tilladte værktøjer for at forhindre klientside-injektion.

Her er den illustrative Python-kode fra Ferdiansyahs rapport ^A:

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Du er en kundesupportassistent..."}]
            },
            "tools": []
        }
    }
})

Bemærk: Fordi live_connect_constraints ikke er dokumenteret i den officielle Google API-reference, der er angivet i kilderne, er dette eksempel baseret på Ferdiansyahs egen beskrivelse og bør testes mod den faktiske API før produktionsbrug ^A.

Hvad er stadig ubekræftet

Følgende nøglepunkter forbliver uverificerede af de medfølgende kilder:

• Ingen officiel Google-dokumentation bekræfter eksistensen eller skemaet for live_connect_constraints.
• Ingen CVE eller sikkerhedsmeddelelse er blevet offentliggjort.
• Ingen uafhængig reproduktion af udnyttelsen er inkluderet i kilderne.
• Den nøjagtige adfærd for BidiGenerateContentConstrained-endepunktet, når det modtager et ubeskyttet token, er ikke dokumenteret i de medfølgende officielle referencer ^DS.

Hvad udviklere bør gøre nu

Indtil Google offentliggør en officiel meddelelse, er den sikreste tilgang at betragte sårbarheden som plausibel og anvende rettelsen proaktivt:

1. Gennemgå din kode for oprettelse af kortlivede tokens – Kontroller, om din backend udfylder live_connect_constraints eller dets tilsvarende felt.
2. Eksponér aldrig rå API-nøgler – Brug altid kortlivede tokens til browser-rettede forbindelser ^S.
3. Sæt stram token-udløb – Google anbefaler newSessionExpireTime på omkring 60 sekunder for at begrænse vinduet for token-tyveri ^G.
4. Valider opsætningsrammer på serversiden – Selv hvis klienter sender deres egen konfiguration, bør din backend håndhæve den påtænkte model, prompt og værktøjer.
5. Overvåg for misbrug – Hold øje med usædvanlige sessionsmønstre, især gentagne forbindelser fra samme token eller uventede værktøjsanvendelser.

Gemini Live API er et kraftfuldt værktøj til at bygge realtids stemme- og videooplevelser. Et enkelt manglende felt i token-oprettelsesprocessen bør ikke underminere denne kapacitet – men udviklere skal sikre, at deres implementeringer er komplette.

Denne artikel er faktatjekket mod 27 medfølgende kilder, inklusive officiel Google-dokumentation, community-forumdiskussioner og den originale forskers rapport. Centrale påstande fra forskeren kunne ikke uafhængigt verificeres fra officielle kilder på tidspunktet for offentliggørelsen.