פרצת אבטחה ב-Gemini Live API: שדה חסר איפשר להאקרים להשתלט על שיחות AI בזמן אמת

בסוף יוני 2026 פרסם חוקר האבטחה Alvin Ferdiansyah ניתוח מפורט של מה שהוא מתאר כשגיאת תצורה קריטית במערכת האסימונים הזמניים (ephemeral tokens) של Gemini Live API מבית Google. הפגיעות, אם היא אמיתית, מאפשרת לתוקף שזוכה באסימון WebSocket קצר-מועד להשתלט על שיחה קולית של AI המנוהלת דרך דפדפן — ולשלוט במודל, בהנחיית המערכת, ואפילו בכלים שהסשן יכול להפעיל.

ליבת הפגיעות היא שדה אבטחה חסר בתהליך יצירת האסימון. להלן מה שידוע, מה שטרם אושר, וכיצד מפתחים יכולים להגן על היישומים שלהם כבר עכשיו.

איך עובד מנגנון האסימונים הזמניים של Gemini Live API

ה-Gemini Live API תומך בחיבורי WebSocket מדפדפן לשרת באמצעות אסימונים זמניים (ephemeral tokens) — אסימוני אימות קצרי-מועד שפג תוקפם במהירות וניתן להגביל אותם לשימושים ספציפיים . אסימונים אלה נוצרים על ידי שרת צד-אחורי ומועברים ללקוח, שמשתמש בהם כדי להתחבר ישירות ל-API של Gemini מבלי לחשוף את מפתח ה-API הבסיסי.

תיעוד גוגל מסביר כי אסימונים זמניים נועדו ליישומי לקוח-לשרת כאשר אבטחה היא נושא חשוב, מכיוון שגם אם הם מחולצים מהדפדפן, אורך החיים הקצר שלהם מגביל את הנזק . הנקודה הסופית עבור חיבורים מוגבלים אלה היא BidiGenerateContentConstrained, שמקבלת את האסימון הזמני כפרמטר שאילתה בשם access_token .

השדה החסר: live_connect_constraints

לטענתו של Ferdiansyah, יישום הייחוס ליצירת אסימונים השמיט את השדה live_connect_constraints . שדה זה אמור להכיל אובייקט bidi_generate_content_setup שקושר את האסימון למודל ספציפי, הוראת מערכת ומערכת כלים מוגדרת.

כאשר live_connect_constraints נותר ריק או נעדר, לא נאכפות כל מגבלות. תוקף שמשיג את האסימון הזמני יכול לשלוח מסגרת הגדרה (setup frame) הנשלטת על ידי הלקוח, שבה הוא מציין כל מודל, הוראת מערכת וכלים שיבחר. השרת, שאין לו ערכים מחייבים הקשורים לאסימון לבדוק מולם, מקבל את תצורת התוקף.

אזהרה חשובה: המקורות שסופקו אינם כוללים תיעוד רשמי של גוגל לשדה live_connect_constraints, CVE, או הודעת אבטחה של גוגל המאשרת התנהגות זו. הטענה מבוססת על הפוסט בבלוג של Ferdiansyah ויש להתייחס אליה כלא מאומתת אך סבירה .

ההשפעה: מה תוקף יכול לעשות עם אסימון לא מוגבל

אם הפגיעות אמיתית, ההשלכות משמעותיות לכל יישום המשתמש ב-Gemini Live API בהקשר דפדפן:

• ביצוע קוד בארגז חול (Sandbox) באמצעות כלים — הדוגמאות של Gemini Live API כוללות תמיכה בצד הלקוח להוספת כלים מותאמים אישית . תוקף שיכול להזריק הגדרת כלי זדונית עלול לבצע קוד בתוך ארגז החול של היישום.
• ניצול לרעה של משאבי מחשוב — סשן חטוף צורך את המכסה והחיוב של היישום הקורבן. מכיוון שאסימונים זמניים מיועדים לחיבורים חד-פעמיים, תוקף יכול גם לבקש שוב ושוב אסימונים חדשים דרך נקודת היצירה של השרת האחורי, ובכך להגדיל עלויות .
• שינוי הנחיות (Prompt Tampering) — שליטה במסגרת ההגדרה פירושה שליטה בהוראת המערכת. תוקף יכול לנצל את הסשן כדי לחלץ מידע רגיש, לייצר תוכן מזיק או להתחזות לסוכן מהימן .
• ניצול חוזר של סשן — לסשנים של Live API יש מגבלת חיבור של כ-10 דקות . תוקף יצטרך להתחבר מחדש, אך תוך שימוש באותו זרם אסימונים לא מוגבל, הוא יוכל לחטוף את הסשן שוב ושוב.

מפתחים בפורום Google AI דיווחו על בעיות שבהן אסימונים זמניים התעלמו מהוראות מערכת ולא פעלו כמצופה עם נקודות קצה מוגבלות, מה שמעיד על כך שהמערכת האקולוגית עדיין מתבגרת .

התיקון: שדה אחד ששווה הכול

התיקון שמתואר על ידי Ferdiansyah הוא פשוט: למלא את השדה

live_connect_constraints.bidi_generate_content_setup

1. model — מודל ה-Gemini המדויק לשימוש (לדוגמה, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — הוראת המערכת המיועדת, בנויה כ-parts המכילים text.
3. tools — מערך ריק [] או רק כלים מורשים במפורש, כדי למנוע הזרקה מצד הלקוח.

הנה קוד Python להמחשה מתוך הכתבה של Ferdiansyah :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "אתה נציג תמיכת לקוחות..."}]
            },
            "tools": []
        }
    }
})

הערה: מכיוון ש-live_connect_constraints אינו מתועד בהפניה הרשמית של Google API שסופקה במקורות, דוגמה זו מבוססת על תיאורו של Ferdiansyah ויש לבדוק אותה מול ה-API בפועל לפני השימוש בייצור .

מה שטרם אושר

הנקודות המרכזיות הבאות נותרות בלתי מאומתות על ידי המקורות שסופקו:

• אין תיעוד רשמי של גוגל המאשר את קיומו או הסכֵמה של live_connect_constraints.
• לא פורסם CVE או הודעת אבטחה.
• אין שכפול עצמאי של הניצול במקורות.
• ההתנהגות המדויקת של נקודת הקצה BidiGenerateContentConstrained בעת קבלת אסימון לא מוגבל אינה מתועדת במקורות הרשמיים שסופקו .

מה מפתחים צריכים לעשות עכשיו

עד שגוגל תפרסם הודעה רשמית, הגישה הבטוחה ביותר היא להתייחס לפגיעות כאל סבירה וליישם את התיקון באופן יזום:

1. בקרו את קוד יצירת האסימונים הזמניים שלכם — בדקו האם השרת האחורי שלכם ממלא את live_connect_constraints או שדה מקביל לו.
2. לעולם אל תחשפו מפתחות API גולמיים — השתמשו תמיד באסימונים זמניים לחיבורים מול דפדפן .
3. הגדירו פקיעת תוקף קצרה לאסימון — גוגל ממליצה על newSessionExpireTime של כ-60 שניות כדי להגביל את חלון הזמן לגניבת אסימון .
4. אמתו מסגרות הגדרה בצד השרת — גם אם לקוחות שולחים תצורה משלהם, השרת האחורי שלכם צריך לאכוף את המודל, ההנחיה והכלים המיועדים.
5. נטרו אחר שימוש לרעה — חפשו דפוסי סשן חריגים, במיוחד חיבורים חוזרים מאותו אסימון או קריאות בלתי צפויות לכלים.

Gemini Live API הוא כלי רב-עוצמה לבניית חוויות קול ווידאו בזמן אמת. שדה חסר יחיד בתהליך יצירת האסימון לא אמור לערער את היכולת הזו — אך מפתחים חייבים לוודא שהיישומים שלהם שלמים.

מאמר זה נבדק עובדתית מול 27 מקורות, כולל תיעוד רשמי של גוגל, דיונים בקהילה, והכתבה המקורית של החוקר. טענות מפתח של החוקר לא יכלו להיות מאומתות באופן עצמאי ממקורות רשמיים במועד הפרסום.