Brakujące pole w tokenach Gemini Live API otwierało drzwi atakującym

Pod koniec czerwca 2026 roku badacz bezpieczeństwa Alvin Ferdiansyah opublikował szczegółową analizę krytycznej konfiguracji w systemie tymczasowych tokenów Google Gemini Live API. Opisana przez niego luka – jeśli się potwierdzi – pozwala atakującemu, który zdobędzie krótkożyciowy token WebSocket, przejąć sesję AI w przeglądarce: kontrolować model, instrukcję systemową, a nawet narzędzia, które sesja może wykonywać.

Sedno problemu leży w brakującym polu bezpieczeństwa podczas generowania tokena. Oto, co wiemy, co pozostaje niepotwierdzone i jak programiści mogą już teraz chronić swoje wdrożenia.

Jak działa system tymczasowych tokenów Gemini Live API

Gemini Live API obsługuje połączenia WebSocket w trybie przeglądarka-serwer za pomocą tokenów tymczasowych (ephemeral tokens) – krótkożyciowych kluczy uwierzytelniających, które szybko wygasają i mogą być ograniczone do konkretnych zastosowań . Tokeny te są generowane przez backend, a następnie przekazywane klientowi, który używa ich do bezpośredniego połączenia z Gemini API bez ujawniania głównego klucza API.

Dokumentacja Google wyjaśnia, że tokeny tymczasowe są przeznaczone do implementacji klient-serwer, w których bezpieczeństwo ma kluczowe znaczenie – nawet jeśli zostaną przechwycone, krótki czas życia ogranicza potencjalne szkody . Endpoint dla tych ograniczonych połączeń to BidiGenerateContentConstrained, który akceptuje token tymczasowy jako parametr zapytania access_token .

Brakujące pole live_connect_constraints

Według analizy Ferdiansyaha, referencyjna implementacja generowania tokenów pomijała pole live_connect_constraints . Pole to powinno zawierać obiekt bidi_generate_content_setup, który wiąże token z konkretnym modelem, instrukcją systemową i zestawem narzędzi.

Gdy live_connect_constraints jest puste lub nieobecne, żadne ograniczenia nie są egzekwowane. Atakujący, który zdobędzie token tymczasowy, może wysłać kontrolowaną przez klienta ramkę konfiguracyjną (setup frame) wskazującą dowolny model, instrukcję systemową i narzędzia. Serwer, nie mając wartości związanych z tokenem do walidacji, akceptuje konfigurację atakującego.

Ważne zastrzeżenie: Dostarczone źródła nie zawierają oficjalnej dokumentacji Google dotyczącej live_connect_constraints, CVE ani biuletynu bezpieczeństwa Google potwierdzającego to zachowanie. Twierdzenie pochodzi z wpisu Ferdiansyaha na Medium i należy je traktować jako niezweryfikowane, choć prawdopodobne .

Skutki: co atakujący mógł zrobić z nieograniczonym tokenem

Jeśli luka jest prawdziwa, konsekwencje dla każdej aplikacji używającej Gemini Live API w kontekście przeglądarkowym są poważne:

• Wykonanie kodu w piaskownicy przez narzędzia – Przykłady Gemini Live API obejmują obsługę dodawania niestandardowych narzędzi po stronie klienta . Atakujący, który wstrzyknie złośliwą definicję narzędzia, potencjalnie mógłby wykonać kod w piaskownicy aplikacji.
• Nadużycie zasobów obliczeniowych – Przejęta sesja zużywa limit i budżet aplikacji ofiary. Ponieważ tokeny tymczasowe są przeznaczone do jednorazowych połączeń, atakujący mógłby wielokrotnie żądać nowych tokenów przez backend, potencjalnie generując wysokie koszty .
• Modyfikacja promptu – Kontrola nad ramką konfiguracyjną oznacza kontrolę nad instrukcją systemową. Atakujący mógłby wykorzystać sesję do wyodrębnienia wrażliwych informacji, generowania szkodliwych treści lub podszywania się pod zaufanego agenta .
• Powtarzające się nadużycia sesji – Sesje Live API mają limit połączenia wynoszący około 10 minut . Atakujący musiałby się ponownie połączyć, ale używając tego samego nieograniczonego przepływu tokenów, mógłby wielokrotnie przejmować sesję.

Deweloperzy na forum Google AI zgłaszali problemy z tokenami tymczasowymi ignorującymi instrukcje systemowe i niedziałającymi zgodnie z oczekiwaniami z ograniczonymi endpointami, co sugeruje, że cały ekosystem wciąż dojrzewa .

Naprawa: jedno pole

Opisane przez Ferdiansyaha rozwiązanie jest proste: podczas generowania tokena należy wypełnić pole

live_connect_constraints.bidi_generate_content_setup

1. model – Dokładny model Gemini (np. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction – Docelowa instrukcja systemowa, sformatowana jako parts zawierające text.
3. tools – Pusta tablica [] lub tylko wyraźnie dozwolone narzędzia, zapobiegające wstrzykiwaniu po stronie klienta.

Oto przykładowy kod Pythona z wpisu Ferdiansyaha :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Jesteś asystentem obsługi klienta..."}]
            },
            "tools": []
        }
    }
})

Uwaga: Ponieważ live_connect_constraints nie jest udokumentowane w oficjalnym API Google, ten przykład opiera się na opisie Ferdiansyaha i powinien zostać przetestowany z rzeczywistym API przed użyciem produkcyjnym .

Co pozostaje niepotwierdzone

Następujące kluczowe punkty pozostają niezweryfikowane w dostarczonych źródłach:

• Brak oficjalnej dokumentacji Google potwierdzającej istnienie lub schemat live_connect_constraints.
• Nie opublikowano CVE ani biuletynu bezpieczeństwa.
• Brak niezależnej reprodukcji exploita w źródłach.
• Dokładne zachowanie endpointu BidiGenerateContentConstrained podczas otrzymywania nieograniczonego tokena nie jest udokumentowane w oficjalnych referencjach .

Co programiści powinni zrobić teraz

Do czasu opublikowania oficjalnego biuletynu Google, najbezpieczniejszym podejściem jest traktowanie luki jako prawdopodobnej i zastosowanie poprawek prewencyjnie:

1. Przeanalizuj swój kod generowania tokenów tymczasowych – Sprawdź, czy Twój backend wypełnia live_connect_constraints lub jego odpowiednik.
2. Nigdy nie ujawniaj surowych kluczy API – Zawsze używaj tokenów tymczasowych do połączeń przeglądarkowych .
3. Ustaw ścisły czas wygaśnięcia tokena – Google zaleca newSessionExpireTime na około 60 sekund, aby ograniczyć okno do kradzieży tokena .
4. Waliduj ramki konfiguracyjne po stronie serwera – Nawet jeśli klienci wysyłają własną konfigurację, Twój backend powinien egzekwować docelowy model, prompt i narzędzia.
5. Monitoruj pod kątem nadużyć – Obserwuj nietypowe wzorce sesji, szczególnie wielokrotne połączenia z tego samego tokena lub nieoczekiwane wywołania narzędzi.

Gemini Live API to potężne narzędzie do budowania interakcji głosowych i wideo w czasie rzeczywistym. Pojedyncze brakujące pole w procesie generowania tokena nie powinno podważać tych możliwości – ale programiści muszą upewnić się, że ich implementacje są kompletne.

Ten artykuł został sprawdzony z 27 dostarczonymi źródłami, w tym oficjalną dokumentacją Google, dyskusjami na forach społecznościowych i oryginalnym wpisem badacza. Kluczowe twierdzenia badacza nie mogły zostać niezależnie zweryfikowane z oficjalnych źródeł w momencie publikacji.