Chaves de API do Google Cloud ainda podem funcionar por até 23 minutos após serem deletadas

Para medir esse comportamento, a Aikido criou chaves de API, as excluiu e continuou enviando requisições de autenticação repetidamente. Em 10 testes, a autenticação continuou funcionando até que a revogação fosse propagada por completo — resultando na janela observada de 8 a 23 minutos, com mediana de cerca de 16 minutos.

Na prática, isso significa que uma chave que aparece como “deletada” na interface do Google Cloud pode ainda funcionar em partes da plataforma por um curto período.

Por que esse atraso representa um risco real

Quando uma credencial é vazada, a prioridade das equipes de segurança é revogá‑la imediatamente. O atraso identificado pela Aikido cria um intervalo no qual invasores ainda podem usar a chave mesmo depois que os administradores acreditam que ela já foi desativada.

Durante essa janela, um atacante com acesso à chave pode, por exemplo:

• Acessar APIs habilitadas no projeto
• Enviar novas requisições para serviços do Google Cloud
• Gerar consumo inesperado de recursos ou custos adicionais

Os pesquisadores confirmaram o comportamento com chaves configuradas para o Gemini, e observaram o mesmo atraso em chaves usadas com outras APIs do Google Cloud, incluindo BigQuery e Google Maps. Isso indica que o problema está relacionado ao tipo de credencial (API key) e não a um serviço específico.

A resposta inicial do Google

Segundo relatos e a divulgação feita pela Aikido, o Google inicialmente classificou o comportamento como um atraso de propagação esperado em sistemas distribuídos, e não como uma falha crítica de segurança. Alguns relatos indicam que o relatório chegou a ser fechado como "won’t fix".

Posteriormente, após nova análise, o caso foi reaberto e tratado internamente como um bug P0, nível usado para problemas de alta prioridade.

Como a revogação depende da propagação das mudanças pela infraestrutura global do Google, o tempo exato até a desativação completa pode variar dependendo de quais sistemas processam cada requisição.

Cuidados recomendados para equipes e desenvolvedores

Até que a revogação seja garantidamente imediata, equipes de segurança devem assumir que excluir uma chave de API não bloqueia o acesso instantaneamente.

Trate a exclusão como uma contenção com atraso
Considere que existe uma janela de risco — potencialmente de até cerca de 30 minutos — durante a qual a chave ainda pode funcionar.

Monitore logs e uso da API após excluir a chave
Picos inesperados de requisições ou consumo logo após a exclusão podem indicar abuso durante o período de propagação.

Restrinja o uso das chaves de API
O próprio Google recomenda aplicar restrições como IP permitido, domínio de origem ou APIs específicas para reduzir o impacto de um vazamento.

Faça rotação de credenciais rapidamente
Em incidentes, gerar novas chaves e atualizar os serviços o quanto antes ajuda a reduzir o impacto caso a antiga ainda funcione temporariamente.

A lição mais ampla para segurança em nuvem

A descoberta destaca um ponto importante sobre grandes sistemas distribuídos: mudanças de configuração — incluindo revogação de credenciais — nem sempre são aplicadas instantaneamente em toda a infraestrutura.

Para equipes de desenvolvimento e segurança, a conclusão prática é simples: “excluído” nem sempre significa “inativo imediatamente”. Processos de resposta a incidentes precisam considerar pequenas janelas de propagação ao revogar credenciais sensíveis.