Falla nel Token della Gemini Live API: un campo mancante permetteva agli hacker di dirottare le sessioni vocali AI

Il campo live_connect_constraints mancante

Secondo il rapporto di Ferdiansyah, l'implementazione di riferimento per la creazione del token ometteva il campo live_connect_constraints . Questo campo dovrebbe contenere un oggetto bidi_generate_content_setup che lega il token a un modello specifico, a un'istruzione di sistema e a un set di strumenti.

Quando live_connect_constraints viene lasciato vuoto o assente, non vengono applicati vincoli. Un attaccante che ottiene il token effimero può quindi inviare un frame di configurazione controllato dal client specificando qualsiasi modello, prompt di sistema e strumenti desideri. Il server, non avendo valori legati al token da convalidare, accetta la configurazione dell'attaccante.

Avvertenza importante: Le fonti fornite non includono la documentazione ufficiale di Google per live_connect_constraints, un CVE o un avviso di sicurezza di Google che confermi questo comportamento. L'affermazione proviene dal post Medium di Ferdiansyah e deve essere considerata non verificata ma plausibile .

Impatto: cosa potrebbe fare un attaccante con un token senza vincoli

Se la vulnerabilità è reale, le conseguenze sono significative per qualsiasi applicazione che utilizzi la Gemini Live API in un contesto browser:

• Esecuzione di codice in sandbox tramite strumenti — Gli esempi della Gemini Live API includono il supporto lato client per l'aggiunta di strumenti personalizzati . Un attaccante in grado di iniettare una definizione di strumento dannoso potrebbe potenzialmente eseguire codice all'interno della sandbox dell'applicazione.
• Abuso di calcolo — Una sessione dirottata consuma la quota e l'allocazione di fatturazione dell'applicazione vittima. Poiché i token effimeri sono progettati per connessioni monouso, un attaccante potrebbe anche richiedere ripetutamente nuovi token tramite l'endpoint di creazione del backend, facendo potenzialmente aumentare i costi .
• Manomissione del prompt — Controllare il frame di configurazione significa controllare l'istruzione di sistema. Un attaccante potrebbe riutilizzare la sessione per estrarre informazioni sensibili, generare contenuti dannosi o impersonare un agente fidato .
• Abuso di sessione ripetuto — Le sessioni dell'API Live hanno un limite di connessione di circa 10 minuti . Un attaccante dovrebbe riconnettersi, ma utilizzando lo stesso flusso di token senza vincoli, potrebbe ri-dirottare la sessione ripetutamente.

Gli sviluppatori sul forum di Google AI hanno segnalato problemi con i token effimeri che ignorano le istruzioni di sistema e non funzionano come previsto con gli endpoint vincolati, suggerendo che l'ecosistema più ampio è ancora in fase di maturazione .

La soluzione in un unico campo

La correzione descritta da Ferdiansyah è semplice: popolare il campo

live_connect_constraints.bidi_generate_content_setup

1. model — Il modello Gemini esatto da utilizzare (ad esempio, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Il prompt di sistema previsto, strutturato come parts contenente text.
3. tools — Un array vuoto [] o solo gli strumenti esplicitamente consentiti, prevenendo l'iniezione lato client.

Ecco il codice Python illustrativo dal post di Ferdiansyah :

Nota: Poiché live_connect_constraints non è documentato nel riferimento ufficiale dell'API Google fornito dalle fonti, questo esempio si basa sulla descrizione di Ferdiansyah e dovrebbe essere testato rispetto all'API effettiva prima dell'uso in produzione .

Cosa non è ancora confermato

I seguenti punti chiave rimangono non verificati dalle fonti fornite:

• Nessuna documentazione ufficiale di Google conferma l'esistenza o lo schema di live_connect_constraints.
• Nessun CVE o avviso di sicurezza è stato pubblicato.
• Nessuna riproduzione indipendente dell'exploit è inclusa nelle fonti.
• Il comportamento esatto dell'endpoint BidiGenerateContentConstrained quando riceve un token senza vincoli non è documentato nei riferimenti ufficiali forniti .

Cosa dovrebbero fare gli sviluppatori ora

Fino a quando Google non pubblicherà un avviso ufficiale, l'approccio più sicuro è trattare la vulnerabilità come plausibile e applicare la correzione in modo proattivo:

1. Controlla il tuo codice di creazione dei token effimeri — Verifica se il tuo backend popola live_connect_constraints o il suo campo equivalente.
2. Non esporre mai le chiavi API raw — Utilizza sempre token effimeri per le connessioni browser-facing .
3. Imposta una scadenza stretta per i token — Google consiglia un newSessionExpireTime di circa 60 secondi per limitare la finestra per il furto di token .
4. Convalida i frame di configurazione lato server — Anche se i client inviano la propria configurazione, il tuo backend dovrebbe imporre il modello, il prompt e gli strumenti previsti.
5. Monitora per abusi — Tieni d'occhio schemi di sessione insoliti, specialmente connessioni ripetute dallo stesso token o invocazioni di strumenti impreviste.

La Gemini Live API è uno strumento potente per creare esperienze vocali e video in tempo reale. Un singolo campo mancante nel processo di creazione del token non dovrebbe minare questa capacità, ma gli sviluppatori devono assicurarsi che le loro implementazioni siano complete.

Questo articolo è stato verificato rispetto a 27 fonti fornite, inclusa la documentazione ufficiale di Google, le discussioni del forum della community e il rapporto originale del ricercatore. Le affermazioni chiave del ricercatore non hanno potuto essere verificate in modo indipendente da fonti ufficiali al momento della pubblicazione.