Le champ live_connect_constraints manquant

Selon l'article de Ferdiansyah, l'implémentation de référence pour la création de tokens omettait le champ live_connect_constraints . Ce champ est censé contenir un objet bidi_generate_content_setup qui lie le token à un modèle, une instruction système et un ensemble d'outils spécifiques.

Lorsque live_connect_constraints est laissé vide ou absent, aucune contrainte n'est appliquée. Un attaquant qui obtient le token éphémère peut alors envoyer une trame de configuration contrôlée par le client spécifiant n'importe quel modèle, prompt système et outils de son choix. Le serveur, ne disposant pas de valeurs liées au token pour valider la configuration, accepte celle de l'attaquant.

Mise en garde importante : Les sources fournies n'incluent pas la documentation officielle de Google pour live_connect_constraints, un CVE, ou un avis de sécurité de Google confirmant ce comportement. L'affirmation provient du post Medium de Ferdiansyah et doit être traitée comme non vérifiée mais plausible .

Impact : ce qu'un attaquant peut faire avec un token sans contrainte

Si la vulnérabilité est réelle, les conséquences sont significatives pour toute application utilisant l'API Gemini Live dans un contexte de navigateur :

• Exécution de code sandboxé via les outils — Les exemples de l'API Gemini Live incluent la prise en charge côté client pour l'ajout d'outils personnalisés . Un attaquant qui peut injecter une définition d'outil malveillante pourrait potentiellement exécuter du code dans le sandbox de l'application.
• Abus de calcul — Une session détournée consomme le quota et la facturation de l'application victime. Comme les tokens éphémères sont conçus pour des connexions à usage unique, un attaquant pourrait également demander à plusieurs reprises de nouveaux tokens via le point de terminaison de création du backend, augmentant potentiellement les coûts .
• Altération du prompt — Contrôler la trame de configuration signifie contrôler les instructions système. Un attaquant pourrait rediriger la session pour extraire des informations sensibles, générer du contenu nuisible ou usurper l'identité d'un agent de confiance .
• Abus de session répété — Les sessions de l'API Live ont une limite de connexion d'environ 10 minutes . Un attaquant devrait se reconnecter, mais en utilisant le même flux de token sans contrainte, il pourrait détourner la session à plusieurs reprises.

Des développeurs sur le forum Google AI ont signalé des problèmes avec les tokens éphémères qui ignorent les instructions système et ne fonctionnent pas comme prévu avec les points de terminaison contraints, ce qui suggère que l'écosystème global est encore en phase de maturation .

La correction en un champ

La correction décrite par Ferdiansyah est simple : il faut renseigner le champ live_connect_constraints.bidi_generate_content_setup lors de la création du token avec trois valeurs :

1. model — Le modèle Gemini exact à utiliser (par exemple, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Les instructions système prévues, structurées comme parts contenant text.
3. tools — Un tableau vide [] ou seulement les outils explicitement autorisés, empêchant l'injection côté client.

Voici le code Python illustratif de l'article de Ferdiansyah :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Vous êtes un assistant du service client..."}]
            },
            "tools": []
        }
    }
})

Remarque : Étant donné que live_connect_constraints n'est pas documenté dans la référence officielle de l'API Google fournie dans les sources, cet exemple est basé sur la propre description de Ferdiansyah et doit être testé par rapport à l'API réelle avant une utilisation en production .

Ce qui n'est pas encore confirmé

Les points clés suivants restent non vérifiés par les sources fournies :

• Aucune documentation officielle de Google ne confirme l'existence ou le schéma de live_connect_constraints.
• Aucun CVE ou avis de sécurité n'a été publié.
• Aucune reproduction indépendante de l'exploit n'est incluse dans les sources.
• Le comportement exact du point de terminaison BidiGenerateContentConstrained lorsqu'il reçoit un token sans contrainte n'est pas documenté dans les références officielles fournies .

Ce que les développeurs devraient faire maintenant

En attendant que Google publie un avis officiel, l'approche la plus sûre est de considérer la vulnérabilité comme plausible et d'appliquer la correction de manière proactive :

1. Auditez votre code de création de tokens éphémères — Vérifiez si votre backend renseigne live_connect_constraints ou son champ équivalent.
2. N'exposez jamais les clés API brutes — Utilisez toujours des tokens éphémères pour les connexions côté navigateur .
3. Définissez une expiration de token stricte — Google recommande un newSessionExpireTime d'environ 60 secondes pour limiter la fenêtre de vol du token .
4. Validez les trames de configuration côté serveur — Même si les clients envoient leur propre configuration, votre backend doit appliquer le modèle, le prompt et les outils prévus.
5. Surveillez les abus — Surveillez les modèles de session inhabituels, en particulier les connexions répétées à partir du même token ou des invocations d'outils inattendues.

L'API Gemini Live est un outil puissant pour créer des expériences vocales et vidéo en temps réel. Un seul champ manquant dans le processus de création de token ne devrait pas compromettre cette capacité — mais les développeurs doivent s'assurer que leurs implémentations sont complètes.

Cet article a été vérifié par les faits à l'aide de 27 sources fournies, y compris la documentation officielle de Google, les discussions sur les forums communautaires et l'article original du chercheur. Les principales affirmations du chercheur n'ont pas pu être vérifiées de manière indépendante à partir de sources officielles au moment de la publication.

Le champ live_connect_constraints manquant

Selon l'article de Ferdiansyah, l'implémentation de référence pour la création de tokens omettait le champ live_connect_constraints . Ce champ est censé contenir un objet bidi_generate_content_setup qui lie le token à un modèle, une instruction système et un ensemble d'outils spécifiques.

Lorsque live_connect_constraints est laissé vide ou absent, aucune contrainte n'est appliquée. Un attaquant qui obtient le token éphémère peut alors envoyer une trame de configuration contrôlée par le client spécifiant n'importe quel modèle, prompt système et outils de son choix. Le serveur, ne disposant pas de valeurs liées au token pour valider la configuration, accepte celle de l'attaquant.

Mise en garde importante : Les sources fournies n'incluent pas la documentation officielle de Google pour live_connect_constraints, un CVE, ou un avis de sécurité de Google confirmant ce comportement. L'affirmation provient du post Medium de Ferdiansyah et doit être traitée comme non vérifiée mais plausible .

Impact : ce qu'un attaquant peut faire avec un token sans contrainte

Si la vulnérabilité est réelle, les conséquences sont significatives pour toute application utilisant l'API Gemini Live dans un contexte de navigateur :

• Exécution de code sandboxé via les outils — Les exemples de l'API Gemini Live incluent la prise en charge côté client pour l'ajout d'outils personnalisés . Un attaquant qui peut injecter une définition d'outil malveillante pourrait potentiellement exécuter du code dans le sandbox de l'application.
• Abus de calcul — Une session détournée consomme le quota et la facturation de l'application victime. Comme les tokens éphémères sont conçus pour des connexions à usage unique, un attaquant pourrait également demander à plusieurs reprises de nouveaux tokens via le point de terminaison de création du backend, augmentant potentiellement les coûts .
• Altération du prompt — Contrôler la trame de configuration signifie contrôler les instructions système. Un attaquant pourrait rediriger la session pour extraire des informations sensibles, générer du contenu nuisible ou usurper l'identité d'un agent de confiance .
• Abus de session répété — Les sessions de l'API Live ont une limite de connexion d'environ 10 minutes . Un attaquant devrait se reconnecter, mais en utilisant le même flux de token sans contrainte, il pourrait détourner la session à plusieurs reprises.

Des développeurs sur le forum Google AI ont signalé des problèmes avec les tokens éphémères qui ignorent les instructions système et ne fonctionnent pas comme prévu avec les points de terminaison contraints, ce qui suggère que l'écosystème global est encore en phase de maturation .

La correction en un champ

La correction décrite par Ferdiansyah est simple : il faut renseigner le champ live_connect_constraints.bidi_generate_content_setup lors de la création du token avec trois valeurs :

1. model — Le modèle Gemini exact à utiliser (par exemple, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Les instructions système prévues, structurées comme parts contenant text.
3. tools — Un tableau vide [] ou seulement les outils explicitement autorisés, empêchant l'injection côté client.

Voici le code Python illustratif de l'article de Ferdiansyah :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Vous êtes un assistant du service client..."}]
            },
            "tools": []
        }
    }
})

Remarque : Étant donné que live_connect_constraints n'est pas documenté dans la référence officielle de l'API Google fournie dans les sources, cet exemple est basé sur la propre description de Ferdiansyah et doit être testé par rapport à l'API réelle avant une utilisation en production .

Ce qui n'est pas encore confirmé

Les points clés suivants restent non vérifiés par les sources fournies :

• Aucune documentation officielle de Google ne confirme l'existence ou le schéma de live_connect_constraints.
• Aucun CVE ou avis de sécurité n'a été publié.
• Aucune reproduction indépendante de l'exploit n'est incluse dans les sources.
• Le comportement exact du point de terminaison BidiGenerateContentConstrained lorsqu'il reçoit un token sans contrainte n'est pas documenté dans les références officielles fournies .

Ce que les développeurs devraient faire maintenant

En attendant que Google publie un avis officiel, l'approche la plus sûre est de considérer la vulnérabilité comme plausible et d'appliquer la correction de manière proactive :

1. Auditez votre code de création de tokens éphémères — Vérifiez si votre backend renseigne live_connect_constraints ou son champ équivalent.
2. N'exposez jamais les clés API brutes — Utilisez toujours des tokens éphémères pour les connexions côté navigateur .
3. Définissez une expiration de token stricte — Google recommande un newSessionExpireTime d'environ 60 secondes pour limiter la fenêtre de vol du token .
4. Validez les trames de configuration côté serveur — Même si les clients envoient leur propre configuration, votre backend doit appliquer le modèle, le prompt et les outils prévus.
5. Surveillez les abus — Surveillez les modèles de session inhabituels, en particulier les connexions répétées à partir du même token ou des invocations d'outils inattendues.

L'API Gemini Live est un outil puissant pour créer des expériences vocales et vidéo en temps réel. Un seul champ manquant dans le processus de création de token ne devrait pas compromettre cette capacité — mais les développeurs doivent s'assurer que leurs implémentations sont complètes.

Cet article a été vérifié par les faits à l'aide de 27 sources fournies, y compris la documentation officielle de Google, les discussions sur les forums communautaires et l'article original du chercheur. Les principales affirmations du chercheur n'ont pas pu être vérifiées de manière indépendante à partir de sources officielles au moment de la publication.