Manglende felt i Gemini Live API åpnet for kapring av AI-stemmeøkter

I slutten av juni 2026 publiserte sikkerhetsforsker Alvin Ferdiansyah en detaljert analyse av det han beskrev som en kritisk feilkonfigurasjon i Googles Gemini Live API-ephemeral token-system. Feilen, hvis den bekreftes, gjør det mulig for en angriper som får tak i et kortvarig WebSocket-token å kapre en nettleserbasert AI-stemmeøkt — og dermed kontrollere modellen, systeminstruksjonen og til og med verktøyene økten kan kjøre.

Kjernen i sårbarheten er et manglende sikkerhetsfelt under token-opprettelse. Her er hva vi vet, hva som fortsatt er ubekreftet, og hvordan utviklere kan beskytte sine løsninger nå.

Hvordan Gemini Live API-ephemeral token-systemet fungerer

Gemini Live API støtter nettleser-til-server WebSocket-tilkoblinger ved hjelp av ephemeral tokens — kortvarige autentiseringstokener som utløper raskt og kan begrenses til spesifikke bruksområder . Disse tokenene opprettes av en backend-server og overleveres deretter til klienten, som bruker dem til å koble seg direkte til Gemini API uten å eksponere den underliggende API-nøkkelen.

Google-dokumentasjonen forklarer at ephemeral tokens er designet for klient-til-server-implementeringer der sikkerhet er viktig, fordi selv om tokenet blir ekstrahert fra en nettleser, begrenser den korte levetiden skadeomfanget . Endepunktet for disse begrensede tilkoblingene er BidiGenerateContentConstrained, som aksepterer det ephemerale tokenet som en access_token-spørringsparameter .

Det manglende live_connect_constraints-feltet

Ifølge Ferdiansyahs rapport utelot referanseimplementeringen for token-opprettelse live_connect_constraints-feltet . Dette feltet er ment å inneholde et bidi_generate_content_setup-objekt som binder tokenet til en spesifikk modell, systeminstruksjon og et sett med verktøy.

Når live_connect_constraints er tomt eller fraværende, håndheves ingen begrensninger. En angriper som får tak i det ephemerale tokenet, kan deretter sende en klientstyrt oppsettramme som spesifiserer hvilken som helst modell, systeminstruksjon og verktøy de ønsker. Serveren, som mangler token-bundne verdier å validere mot, aksepterer angriperens konfigurasjon.

Viktig forbehold: De oppgitte kildene inkluderer ikke Googles offisielle dokumentasjon for live_connect_constraints, en CVE eller en Google-sikkerhetsadvarsel som bekrefter denne oppførselen. Påstanden kommer fra Ferdiansyahs Medium-innlegg og bør behandles som uverifisert, men plausibel .

Konsekvenser: Hva en angriper kunne gjøre med et ubegrenset token

Hvis sårbarheten er reell, er konsekvensene betydelige for enhver applikasjon som bruker Gemini Live API i en nettleserkontekst:

• Sandboxet kodekjøring via verktøy — Gemini Live API-eksemplene inkluderer klientstøtte for å legge til egendefinerte verktøy . En angriper som kan injisere en ondsinnet verktøydefinisjon, kan potensielt kjøre kode innenfor applikasjonens sandkasse.
• Ressursmisbruk — En kapret økt forbruker offerapplikasjonens kvote og faktureringsallokering. Fordi ephemeral tokens er designet for engangsbruk, kan en angriper også gjentatte ganger be om nye tokens via backendens opprettelsesendepunkt, noe som potensielt kan drive opp kostnadene .
• Manipulering av instruksjoner — Å kontrollere oppsettrammen innebærer å kontrollere systeminstruksjonen. En angriper kan omprogrammere økten til å hente ut sensitiv informasjon, generere skadelig innhold eller utgi seg for å være en pålitelig agent .
• Gjentatt øktmisbruk — Live API-økter har en tilkoblingsgrense på omtrent 10 minutter . En angriper må koble seg på nytt, men ved å bruke den samme ubegrensede token-flyten kan de kapre økten gjentatte ganger.

Utviklere på Google AI-forumet har rapportert problemer med at ephemeral tokens ignorerer systeminstruksjoner og ikke fungerer som forventet med begrensede endepunkter, noe som tyder på at det bredere økosystemet fortsatt er under utvikling .

Fiksen: Ett felt som må på plass

Ferdiansyahs anbefalte løsning er enkel: fyll ut

live_connect_constraints.bidi_generate_content_setup

1. model — Den nøyaktige Gemini-modellen som skal brukes (f.eks. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Den tiltenkte systeminstruksjonen, strukturert som parts som inneholder text.
3. tools — En tom matrise [] eller kun de eksplisitt tillatte verktøyene, for å forhindre klientinjisering.

Her er den illustrerende Python-koden fra Ferdiansyahs rapport :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Du er en kundestøtteassistent..."}]
            },
            "tools": []
        }
    }
})

Merk: Fordi live_connect_constraints ikke er dokumentert i den offisielle Google API-referansen som er oppgitt i kildene, er dette eksemplet basert på Ferdiansyahs egen beskrivelse og bør testes mot det faktiske API-et før produksjonsbruk .

Hva er fortsatt ubekreftet

Følgende nøkkelpunkter forblir uverifisert av de oppgitte kildene:

• Ingen offisiell Google-dokumentasjon bekrefter eksistensen eller skjemaet til live_connect_constraints.
• Ingen CVE eller sikkerhetsadvarsel er publisert.
• Ingen uavhengig reproduksjon av utnyttelsen er inkludert i kildene.
• Den nøyaktige oppførselen til BidiGenerateContentConstrained-endepunktet når det mottar et ubegrenset token er ikke dokumentert i de oppgitte offisielle referansene .

Hva utviklere bør gjøre nå

Inntil Google publiserer en offisiell advarsel, er den sikreste tilnærmingen å behandle sårbarheten som plausibel og iverksette fiksen proaktivt:

1. Gjennomgå koden for token-opprettelse — Sjekk om backend-en din fyller ut live_connect_constraints eller tilsvarende felt.
2. Eksponer aldri rå API-nøkler — Bruk alltid ephemeral tokens for nettleservendte tilkoblinger .
3. Sett kort token-levetid — Google anbefaler newSessionExpireTime på omtrent 60 sekunder for å begrense muligheten for token-tyveri .
4. Valider oppsettrammer på serversiden — Selv om klienter sender sin egen konfigurasjon, bør backend-en din håndheve tiltenkt modell, instruksjon og verktøy.
5. Overvåk for misbruk — Se etter uvanlige øktmønstre, spesielt gjentatte tilkoblinger fra samme token eller uventede verktøykallinger.

Gemini Live API er et kraftig verktøy for å bygge sanntids stemme- og videoopplevelser. Et enkelt manglende felt i token-opprettelsesprosessen bør ikke undergrave denne kapasiteten — men utviklere må sørge for at implementeringene deres er komplette.

Denne artikkelen ble faktasjekket mot 27 oppgitte kilder, inkludert offisiell Google-dokumentasjon, diskusjoner i nettforum og forskerens opprinnelige rapport. Sentrale påstander fra forskeren kunne ikke uavhengig verifiseres fra offisielle kilder på publiseringstidspunktet.