Celah Keamanan Token Ephemeral Gemini Live API: Satu Field Hilang yang Bisa Membajak Sesi Suara AI

Pada akhir Juni 2026, peneliti keamanan Alvin Ferdiansyah mempublikasikan analisis mendetail tentang apa yang ia deskripsikan sebagai miskonfigurasi kritis dalam sistem token ephemeral Gemini Live API milik Google. Kerentanan ini, jika terbukti benar, memungkinkan penyerang yang mendapatkan token WebSocket berumur pendek untuk membajak sesi suara AI berbasis browser — mengontrol model, instruksi sistem (system prompt), dan bahkan tools yang dapat dijalankan oleh sesi tersebut.

Inti dari kerentanan ini adalah tidak adanya field keamanan saat pembuatan token. Berikut adalah apa yang diketahui, apa yang masih belum terkonfirmasi, dan bagaimana pengembang dapat melindungi deployment mereka saat ini.

Cara Kerja Sistem Token Ephemeral Gemini Live API

Gemini Live API mendukung koneksi WebSocket dari browser ke server menggunakan token ephemeral — token autentikasi berumur pendek yang cepat kedaluwarsa dan dapat dibatasi penggunaannya secara spesifik . Token ini dibuat oleh server backend dan kemudian diberikan kepada klien, yang menggunakannya untuk terhubung langsung ke Gemini API tanpa mengekspos kunci API yang mendasarinya.

Dokumentasi Google menjelaskan bahwa token ephemeral dirancang untuk implementasi klien-ke-server yang mengutamakan keamanan, karena meskipun diekstrak dari browser, masa hidup token yang singkat membatasi potensi kerusakan . Endpoint untuk koneksi terbatas ini adalah BidiGenerateContentConstrained, yang menerima token ephemeral sebagai parameter kueri access_token .

Field live_connect_constraints yang Hilang

Menurut laporan Ferdiansyah, implementasi referensi untuk pembuatan token menghilangkan field live_connect_constraints . Field ini seharusnya berisi objek bidi_generate_content_setup yang mengikat token ke model, instruksi sistem, dan seperangkat tools tertentu.

Ketika live_connect_constraints dikosongkan atau tidak ada, tidak ada batasan yang diterapkan. Penyerang yang mendapatkan token ephemeral kemudian dapat mengirim setup frame yang dikendalikan oleh klien yang menentukan model, instruksi sistem, dan tools apa pun yang mereka pilih. Server, karena tidak memiliki nilai terikat token untuk divalidasi, akan menerima konfigurasi dari penyerang tersebut.

Catatan penting: Sumber yang disediakan tidak menyertakan dokumentasi resmi Google untuk live_connect_constraints, CVE, atau buletin keamanan Google yang mengonfirmasi perilaku ini. Klaim ini berasal dari postingan Medium Ferdiansyah dan harus dianggap belum terverifikasi tetapi masuk akal .

Dampak: Apa yang Bisa Dilakukan Penyerang dengan Token Tanpa Batasan

Jika kerentanan ini nyata, konsekuensinya signifikan untuk aplikasi apa pun yang menggunakan Gemini Live API dalam konteks browser:

• Eksekusi kode dalam sandbox melalui tools — Contoh Gemini Live API menyertakan dukungan sisi klien untuk menambahkan tools kustom . Penyerang yang dapat menyuntikkan definisi tool berbahaya berpotensi mengeksekusi kode di dalam sandbox aplikasi.
• Penyalahgunaan komputasi (Compute abuse) — Sesi yang dibajak akan menghabiskan kuota dan alokasi penagihan aplikasi korban. Karena token ephemeral dirancang untuk koneksi sekali pakai, penyerang juga dapat berulang kali meminta token baru melalui endpoint pembuatan token di backend, yang berpotensi meningkatkan biaya .
• Perusakan prompt (Prompt tampering) — Mengontrol setup frame berarti mengontrol instruksi sistem. Penyerang dapat menggunakan kembali sesi tersebut untuk mengekstrak informasi sensitif, menghasilkan konten berbahaya, atau menyamar sebagai agen tepercaya .
• Penyalahgunaan sesi berulang — Sesi Live API memiliki batas koneksi sekitar 10 menit . Penyerang perlu menyambung kembali, tetapi dengan menggunakan alur token tanpa batasan yang sama, mereka dapat membajak ulang sesi tersebut berulang kali.

Pengembang di forum Google AI telah melaporkan masalah token ephemeral yang mengabaikan instruksi sistem dan gagal berfungsi seperti yang diharapkan dengan endpoint terbatas, yang menunjukkan bahwa ekosistem yang lebih luas masih dalam tahap perkembangan .

Perbaikan Satu Field

Perbaikan yang dijelaskan oleh Ferdiansyah cukup sederhana: isi field

live_connect_constraints.bidi_generate_content_setup

1. model — Model Gemini yang tepat untuk digunakan (misalnya, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Instruksi sistem yang dimaksud, terstruktur sebagai parts yang berisi text.
3. tools — Array kosong [] atau hanya tools yang diizinkan secara eksplisit, untuk mencegah injeksi dari sisi klien.

Berikut adalah kode Python ilustratif dari laporan Ferdiansyah :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Anda adalah asisten dukungan pelanggan..."}]
            },
            "tools": []
        }
    }
})

Catatan: Karena live_connect_constraints tidak terdokumentasi di referensi API resmi Google yang disediakan dalam sumber, contoh ini didasarkan pada deskripsi Ferdiansyah sendiri dan harus diuji terhadap API yang sebenarnya sebelum digunakan di produksi .

Apa yang Masih Belum Terkonfirmasi

Poin-poin penting berikut masih belum terverifikasi oleh sumber yang disediakan:

• Tidak ada dokumentasi resmi Google yang mengonfirmasi keberadaan atau skema dari live_connect_constraints.
• Tidak ada CVE atau buletin keamanan yang telah diterbitkan.
• Tidak ada reproduksi independen dari eksploitasi yang disertakan dalam sumber.
• Perilaku pasti dari endpoint BidiGenerateContentConstrained ketika menerima token tanpa batasan tidak terdokumentasi dalam referensi resmi yang disediakan .

Yang Harus Dilakukan Pengembang Sekarang

Sampai Google menerbitkan buletin resmi, pendekatan teraman adalah menganggap kerentanan ini mungkin terjadi dan menerapkan perbaikan secara proaktif:

1. Audit kode pembuatan token ephemeral Anda — Periksa apakah backend Anda mengisi live_connect_constraints atau field yang setara.
2. Jangan pernah mengekspos kunci API mentah — Selalu gunakan token ephemeral untuk koneksi yang berhadapan dengan browser .
3. Atur kedaluwarsa token yang ketat — Google merekomendasikan newSessionExpireTime sekitar 60 detik untuk membatasi jendela pencurian token .
4. Validasi setup frame di sisi server — Bahkan jika klien mengirimkan konfigurasi mereka sendiri, backend Anda harus menerapkan model, prompt, dan tools yang dimaksud.
5. Pantau penyalahgunaan — Perhatikan pola sesi yang tidak biasa, terutama koneksi berulang dari token yang sama atau pemanggilan tool yang tidak terduga.

Gemini Live API adalah alat yang hebat untuk membangun pengalaman suara dan video waktu nyata. Satu field yang hilang dalam proses pembuatan token seharusnya tidak merusak kemampuan itu — tetapi pengembang harus memastikan implementasi mereka lengkap.

Artikel ini telah diperiksa faktanya terhadap 27 sumber yang disediakan, termasuk dokumentasi resmi Google, diskusi forum komunitas, dan laporan asli peneliti. Klaim kunci dari peneliti tidak dapat diverifikasi secara independen dari sumber resmi pada saat publikasi.