Gemini Live API -tokenin aukko: Puuttuva kenttä antoi hyökkääjille mahdollisuuden kaapata tekoälyistuntoja

Kesäkuun 2026 lopulla tietoturvatutkija Alvin Ferdiansyah julkaisi yksityiskohtaisen raportin kriittisestä tietoturva-aukosta Googlen Gemini Live API:n lyhytaikaisten (ephemeral) tokenien toteutuksessa. Haavoittuvuus mahdollistaa selainpohjaisten tekoälyäänistuntojen kaappaamisen ja hallinnan hyökkääjän toimesta.

Aukon ydin on puuttuva tietoturvakenttä tokenin luonnissa. Tässä artikkelissa käymme läpi, mitä tiedetään, mikä on vielä vahvistamatta ja miten kehittäjät voivat suojata sovelluksensa nyt.

Miten Gemini Live API:n lyhytaikaiset tokenit toimivat

Gemini Live API tukee selain-palvelin -yhteyksiä WebSocketin yli käyttämällä lyhytaikaisia tokeneita – nopeasti vanhenevia todennustunnuksia, jotka voidaan rajoittaa tiettyyn käyttötarkoitukseen ^A. Palvelin luo nämä tokenit ja antaa ne asiakasohjelmalle, joka käyttää niitä suoraan Gemini API:hin ilman, että varsinainen API-avain paljastuu.

Googlen dokumentaation mukaan lyhytaikaiset tokenit on suunniteltu erityisesti asiakas-palvelin -toteutuksia varten. Vaikka token voitaisiin kaapata selaimesta, sen lyhyt elinikä rajoittaa vahinkoa ^A. Rajoitettu yhteys käyttää päätepistettä BidiGenerateContentConstrained, jolle token lähetetään access_token-kyselyparametrina ^DS.

Puuttuva live_connect_constraints-kenttä

Ferdiansyahin raportin mukaan Googlen viitetoteutuksesta puuttui live_connect_constraints-kenttä ^A. Tämän kentän pitäisi sisältää bidi_generate_content_setup-objekti, joka sitoo tokenin tiettyyn malliin, järjestelmäohjeeseen (system instruction) ja työkaluihin.

Kun live_connect_constraints on tyhjä, rajoituksia ei ole. Hyökkääjä, joka saa tokenin haltuunsa, voi lähettää itse valitsemansa asetuskehyksen (setup frame) ja määrittää minkä tahansa mallin, kehotteen ja työkalut. Palvelin hyväksyy nämä, koska sillä ei ole tokeniin sidottuja arvoja, joihin verrata.

Tärkeä huomautus: Toimitettuihin lähteisiin ei sisälly virallista Googlen dokumentaatiota live_connect_constraints-kentästä, CVE-merkintää tai Googlen tietoturvatiedotetta. Väite perustuu Ferdiansyahin Medium-artikkeliin, ja sitä on pidettävä toistaiseksi vahvistamattomana mutta uskottavana ^A.

Vaikutukset: Mitä hyökkääjä voi tehdä rajoittamattomalla tokenilla

Jos haavoittuvuus on todellinen, seuraukset ovat merkittäviä kaikille Gemini Live API:a selaimessa käyttäville sovelluksille:

• Hiekkalaatikossa tapahtuva koodin suoritus työkalujen kautta – Gemini Live API:n esimerkit sisältävät tuen asiakaspuolen omille työkaluille ^D. Hyökkääjä, joka pystyy lisäämään haitallisen työkalumääritelmän, voi suorittaa koodia sovelluksen hiekkalaatikossa.
• Laskennan väärinkäyttö – Kaapattu istunto kuluttaa uhrin sovelluksen kiintiötä ja laskutusta. Koska tokenit on suunniteltu kertakäyttöisiksi, hyökkääjä voi myös pyytää uusia tokeneita palvelimen luontipäätepisteeltä ja kasvattaa kustannuksia ^G.
• Kehotteen manipulointi – Asetuskehyksen hallinta tarkoittaa järjestelmäohjeen hallintaa. Hyökkääjä voi muuttaa istunnon tarkoitusta esimerkiksi arkaluontoisten tietojen kalasteluun, haitallisen sisällön tuottamiseen tai luotetun agentin esiintymiseen ^D.
• Toistuva istunnon väärinkäyttö – Live API -istunnot ovat enintään noin 10 minuuttia pitkiä ^DD. Hyökkääjän on uusittava yhteys, mutta samaa rajoittamatonta token-virtaa käyttämällä istunto voidaan kaapata uudelleen.

Kehittäjät ovat raportoineet Googlen AI-foorumilla ongelmista, joissa lyhytaikaiset tokenit eivät noudata järjestelmäohjeita tai eivät toimi rajoitetuissa päätepisteissä odotetusti. Tämä viittaa siihen, että ekosysteemi on vielä kehitysvaiheessa ^DD.

Korjaus yhdellä kentällä

Ferdiansyahin kuvaama korjaus on yksinkertainen: live_connect_constraints.bidi_generate_content_setup-kenttä on täytettävä tokenin luonnissa kolmella arvolla:

1. model – Tarkka Gemini-malli (esim. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction – Haluttu järjestelmäohje parts-kentässä, joka sisältää text-kentän.
3. tools – Tyhjä taulukko [] tai vain sallitut työkalut. Tämä estää asiakaspuolen työkalujen lisäämisen.

Tässä on Ferdiansyahin raportissa kuvattu Python-esimerkki ^A:

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Olet asiakaspalvelun assistentti..."}]
            },
            "tools": []
        }
    }
})

Huomautus: Koska live_connect_constraints ei ole Googlen virallisessa API-dokumentaatiossa, esimerkki perustuu Ferdiansyahin kuvaukseen. Ennen tuotantokäyttöä se on testattava varsinaista APIa vastaan ^A.

Mikä on vielä vahvistamatta

Seuraavat asiat ovat yhä vahvistamatta toimitettujen lähteiden perusteella:

• Virallista Googlen dokumentaatiota live_connect_constraints-kentästä ei ole.
• CVE-merkintää tai tietoturvatiedotetta ei ole julkaistu.
• Riippumatonta toistoa haavoittuvuudesta ei ole toimitettu lähteissä.
• BidiGenerateContentConstrained-päätepisteen tarkkaa käyttäytymistä rajoittamattomalla tokenilla ei kuvata virallisissa lähteissä ^DS.

Mitä kehittäjien tulisi tehdä nyt?

Kunnes Google julkaisee virallisen tiedotteen, turvallisinta on olettaa haavoittuvuus todeksi ja korjata se ennaltaehkäisevästi:

1. Tarkista lyhytaikaisten tokenien luontikoodisi – Onko live_connect_constraints tai vastaava kenttä määritelty?
2. Älä koskaan paljasta API-avainta – Käytä aina lyhytaikaisia tokeneita selainpohjaisissa yhteyksissä ^S.
3. Aseta tiukka tokenin vanhentumisaika – Google suosittelee newSessionExpireTime-asetukseksi noin 60 sekuntia, jotta tokenin varastamisen aikaväli on lyhyt ^G.
4. Validoi asetuskehykset palvelimella – Vaikka asiakas lähettäisi oman määrityksensä, palvelimen on pakotettava oikea malli, kehote ja työkalut.
5. Tarkkaile väärinkäyttöä – Seuraa epätavallisia istuntomalleja, kuten toistuvia yhteyksiä samalla tokenilla tai odottamattomia työkalujen kutsuja.

Gemini Live API on tehokas työkalu reaaliaikaisten ääni- ja videoelämysten rakentamiseen. Yksi puuttuva kenttä tokenin luonnissa ei saisi heikentää tätä ominaisuutta – mutta kehittäjien on varmistettava, että heidän toteutuksensa on täydellinen.

Tämä artikkeli on faktantarkistettu 27 toimitetun lähteen perusteella, mukaan lukien Googlen virallinen dokumentaatio, yhteisön foorumikeskustelut ja alkuperäinen tutkijan raportti. Tutkijan keskeisiä väitteitä ei voitu vahvistaa virallisista lähteistä julkaisuhetkellä.