La API Gemini Live tiene un fallo de token: un campo faltante permitía a atacantes secuestrar sesiones de voz con IA

El campo faltante: live_connect_constraints

Según el informe de Ferdiansyah, la implementación de referencia para la acuñación de tokens omitía el campo live_connect_constraints . Se supone que este campo contiene un objeto bidi_generate_content_setup que vincula el token a un modelo específico, una instrucción del sistema y un conjunto de herramientas.

Cuando live_connect_constraints se deja vacío o ausente, no se aplican restricciones. Un atacante que obtenga el token efímero puede entonces enviar un marco de configuración controlado por el cliente especificando cualquier modelo, prompt del sistema y herramientas que elija. El servidor, al carecer de valores vinculados al token para validar, acepta la configuración del atacante.

Advertencia importante: Las fuentes proporcionadas no incluyen la documentación oficial de Google para live_connect_constraints, un CVE o un aviso de seguridad de Google que confirme este comportamiento. La afirmación proviene de la publicación de Ferdiansyah en Medium y debe tratarse como no verificada pero plausible .

Impacto: Lo que un atacante podría hacer con un token sin restricciones

Si la vulnerabilidad es real, las consecuencias son significativas para cualquier aplicación que utilice la API Gemini Live en un contexto de navegador:

• Ejecución de código en entorno aislado a través de herramientas — Los ejemplos de la API Gemini Live incluyen soporte del lado del cliente para agregar herramientas personalizadas . Un atacante que pueda inyectar una definición de herramienta maliciosa podría ejecutar código dentro del entorno aislado de la aplicación.
• Abuso de recursos de cómputo — Una sesión secuestrada consume la cuota y la facturación de la aplicación víctima. Debido a que los tokens efímeros están diseñados para conexiones de un solo uso, un atacante también podría solicitar repetidamente nuevos tokens a través del endpoint de acuñación del backend, lo que podría aumentar los costos .
• Manipulación del prompt — Controlar el marco de configuración significa controlar la instrucción del sistema. Un atacante podría reutilizar la sesión para extraer información sensible, generar contenido dañino o hacerse pasar por un agente de confianza .
• Abuso repetido de la sesión — Las sesiones de la API Live tienen un límite de conexión de aproximadamente 10 minutos . Un atacante necesitaría reconectarse, pero utilizando el mismo flujo de token sin restricciones, podría volver a secuestrar la sesión repetidamente.

Desarrolladores en el foro de Google AI han informado problemas con tokens efímeros que ignoran las instrucciones del sistema y no funcionan como se espera con endpoints restringidos, lo que sugiere que el ecosistema general aún está madurando .

La solución de un solo campo

La remediación descrita por Ferdiansyah es sencilla: poblar el campo

live_connect_constraints.bidi_generate_content_setup

1. model — El modelo exacto de Gemini a utilizar (por ejemplo, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — El prompt del sistema deseado, estructurado como parts que contienen text.
3. tools — Un array vacío [] o solo las herramientas explícitamente permitidas, evitando la inyección del lado del cliente.

Aquí está el código Python ilustrativo del informe de Ferdiansyah :

Nota: Debido a que live_connect_constraints no está documentado en la referencia oficial de la API de Google proporcionada en las fuentes, este ejemplo se basa en la propia descripción de Ferdiansyah y debe probarse con la API real antes de usarlo en producción .

Lo que aún no está confirmado

Los siguientes puntos clave permanecen sin verificar por las fuentes proporcionadas:

• No hay documentación oficial de Google que confirme la existencia o el esquema de live_connect_constraints.
• No se ha publicado ningún CVE o aviso de seguridad.
• No se incluye ninguna reproducción independiente del exploit en las fuentes.
• El comportamiento exacto del endpoint BidiGenerateContentConstrained al recibir un token sin restricciones no está documentado en las referencias oficiales proporcionadas .

Lo que los desarrolladores deberían hacer ahora

Hasta que Google publique un aviso oficial, el enfoque más seguro es tratar la vulnerabilidad como plausible y aplicar la solución de forma proactiva:

1. Audita tu código de acuñación de tokens efímeros — Verifica si tu backend popula live_connect_constraints o su campo equivalente.
2. Nunca expongas claves de API sin procesar — Utiliza siempre tokens efímeros para conexiones orientadas al navegador .
3. Establece una caducidad de token estricta — Google recomienda newSessionExpireTime de alrededor de 60 segundos para limitar la ventana de robo de tokens .
4. Valida los marcos de configuración en el lado del servidor — Incluso si los clientes envían su propia configuración, tu backend debe imponer el modelo, el prompt y las herramientas previstos.
5. Monitorea el abuso — Vigila patrones de sesión inusuales, especialmente conexiones repetidas desde el mismo token o invocaciones de herramientas inesperadas.

La API Gemini Live es una herramienta poderosa para construir experiencias de voz y video en tiempo real. Un solo campo faltante en el proceso de acuñación de tokens no debería socavar esa capacidad, pero los desarrolladores deben asegurarse de que sus implementaciones estén completas.

Este artículo fue verificado con 27 fuentes proporcionadas, incluyendo documentación oficial de Google, discusiones en foros de la comunidad y el informe original del investigador. Las afirmaciones clave del investigador no pudieron ser verificadas de forma independiente a partir de fuentes oficiales en el momento de la publicación.