Gemini Live API-tokenfout: hoe een ontbrekend veld aanvallers in staat stelt AI-spraaksessies te kapen

Het ontbrekende veld live_connect_constraints

Volgens Ferdiansyah's blogpost ontbreekt in de referentie-implementatie voor het aanmaken van tokens het veld live_connect_constraints . Dit veld zou een bidi_generate_content_setup-object moeten bevatten dat het token bindt aan een specifiek model, systeem-instructie en set tools.

Wanneer live_connect_constraints leeg wordt gelaten of afwezig is, worden er geen beperkingen afgedwongen. Een aanvaller die het tijdelijke token bemachtigt, kan vervolgens een client-gestuurd setup-frame sturen met een willekeurig model, systeemprompt en tools. De server, die geen aan het token gebonden waarden heeft om te valideren, accepteert de configuratie van de aanvaller.

Belangrijke kanttekening: De verstrekte bronnen bevatten geen officiële Google-documentatie voor live_connect_constraints, een CVE of een Google-beveiligingsadvies dat dit gedrag bevestigt. De bewering is afkomstig uit Ferdiansyah's Medium-post en moet worden beschouwd als onbevestigd maar aannemelijk .

Impact: Wat een aanvaller kan doen met een onbeperkt token

Als de kwetsbaarheid echt is, zijn de gevolgen groot voor elke toepassing die de Gemini Live API in een browsercontext gebruikt:

• Sandboxed code-uitvoering via tools — De voorbeelden van de Gemini Live API bevatten ondersteuning aan de clientzijde voor het toevoegen van aangepaste tools . Een aanvaller die een kwaadaardige tooldefinitie kan injecteren, kan mogelijk code uitvoeren binnen de sandbox van de toepassing.
• Misbruik van rekenkracht — Een gekaapte sessie verbruikt het quotum en de facturatie van de slachtoffertoepassing. Omdat tijdelijke tokens zijn ontworpen voor eenmalig gebruik, kan een aanvaller ook herhaaldelijk nieuwe tokens aanvragen via het aanmaak-endpoint van de backend, wat de kosten kan opdrijven .
• Manipulatie van prompts — Controle over het setup-frame betekent controle over de systeem-instructie. Een aanvaller kan de sessie misbruiken om gevoelige informatie te extraheren, schadelijke inhoud te genereren of zich voor te doen als een vertrouwde agent .
• Herhaald sessiemisbruik — Live API-sessies hebben een verbindingslimiet van ongeveer 10 minuten . Een aanvaller moet opnieuw verbinding maken, maar met dezelfde onbeperkte tokenstroom kan hij de sessie herhaaldelijk opnieuw kapen.

Ontwikkelaars op het Google AI-forum hebben gemeld dat tijdelijke tokens systeem-instructies negeren en niet naar behoren werken met beperkte eindpunten. Dit suggereert dat het bredere ecosysteem nog in ontwikkeling is .

De oplossing: één veld toevoegen

De door Ferdiansyah beschreven oplossing is eenvoudig: vul tijdens het aanmaken van tokens het veld

live_connect_constraints.bidi_generate_content_setup

1. model — Het exacte te gebruiken Gemini-model (bijv. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — De beoogde systeemprompt, gestructureerd als parts met text.
3. tools — Een lege array [] of alleen expliciet toegestane tools, om injectie aan de clientzijde te voorkomen.

Hier is de illustratieve Python-code uit Ferdiansyah's blogpost :

Opmerking: Omdat live_connect_constraints niet is gedocumenteerd in de officiële Google API-referentie uit de bronnen, is dit voorbeeld gebaseerd op Ferdiansyah's eigen beschrijving en moet het worden getest tegen de daadwerkelijke API voordat het in productie wordt gebruikt .

Wat is nog onbevestigd?

De volgende belangrijke punten blijven onbevestigd door de verstrekte bronnen:

• Geen officiële Google-documentatie bevestigt het bestaan of het schema van live_connect_constraints.
• Er is geen CVE of beveiligingsadvies gepubliceerd.
• Er is geen onafhankelijke reproductie van de exploit in de bronnen opgenomen.
• Het exacte gedrag van het BidiGenerateContentConstrained-eindpunt bij het ontvangen van een onbeperkt token is niet gedocumenteerd in de verstrekte officiële referenties .

Wat ontwikkelaars nu moeten doen

Totdat Google een officieel advies publiceert, is de veiligste aanpak om de kwetsbaarheid als aannemelijk te beschouwen en de oplossing proactief toe te passen:

1. Controleer je code voor het aanmaken van tijdelijke tokens — Kijk of je backend live_connect_constraints of een equivalent veld invult.
2. Stel nooit raw API-sleutels bloot — Gebruik altijd tijdelijke tokens voor browsergebaseerde verbindingen .
3. Stel een korte tokenvervaltijd in — Google raadt newSessionExpireTime van ongeveer 60 seconden aan om het venster voor token-diefstal te beperken .
4. Valideer setup-frames aan de serverzijde — Zelfs als clients hun eigen configuratie sturen, moet je backend het beoogde model, de prompt en de tools afdwingen.
5. Monitor op misbruik — Let op ongebruikelijke sessiepatronen, vooral herhaalde verbindingen met hetzelfde token of onverwachte tool-aanroepen.

De Gemini Live API is een krachtig hulpmiddel voor het bouwen van realtime spraak- en video-ervaringen. Een enkel ontbrekend veld bij het aanmaken van tokens mag die mogelijkheid niet ondermijnen, maar ontwikkelaars moeten ervoor zorgen dat hun implementaties volledig zijn.

Dit artikel is gecontroleerd aan de hand van 27 verstrekte bronnen, waaronder officiële Google-documentatie, discussies op communityforums en het originele onderzoek van de beveiligingsonderzoeker. Belangrijke beweringen van de onderzoeker konden op het moment van publicatie niet onafhankelijk worden geverifieerd aan de hand van officiële bronnen.