Falha no Token da API Gemini Live: Como um Campo Ausente Permitiu que Atacantes Assumissem Sessões de Voz com IA

No final de junho de 2026, o pesquisador de segurança Alvin Ferdiansyah publicou uma análise detalhada do que descreveu como uma configuração crítica incorreta no sistema de tokens efêmeros da API Gemini Live do Google. A falha, se confirmada, permite que um invasor que obtenha um token WebSocket de curta duração sequestre uma sessão de voz com IA baseada em navegador — controlando o modelo, o prompt do sistema e até mesmo as ferramentas que a sessão pode executar.

O cerne da vulnerabilidade é a ausência de um campo de segurança durante a criação do token. Aqui está o que sabemos, o que ainda não foi confirmado e como os desenvolvedores podem proteger suas implementações agora mesmo.

Como funciona o sistema de token efêmero da API Gemini Live

A API Gemini Live suporta conexões WebSocket de navegador para servidor usando tokens efêmeros — tokens de autenticação de curta duração que expiram rapidamente e podem ser restritos a usos específicos . Esses tokens são criados por um servidor backend e então entregues ao cliente, que os utiliza para se conectar diretamente à API Gemini sem expor a chave de API subjacente.

A documentação do Google explica que os tokens efêmeros são projetados para implementações cliente-servidor onde a segurança é uma preocupação, porque mesmo se extraídos de um navegador, a curta vida útil do token limita os danos . O endpoint para essas conexões restritas é BidiGenerateContentConstrained, que aceita o token efêmero como um parâmetro de consulta access_token .

O campo live_connect_constraints ausente

De acordo com a publicação de Ferdiansyah, a implementação de referência para a criação de tokens omitia o campo live_connect_constraints . Espera-se que este campo contenha um objeto bidi_generate_content_setup que vincula o token a um modelo, instrução de sistema e conjunto de ferramentas específicos.

Quando live_connect_constraints é deixado vazio ou está ausente, nenhuma restrição é aplicada. Um invasor que obtenha o token efêmero pode então enviar um frame de configuração controlado pelo cliente especificando qualquer modelo, prompt de sistema e ferramentas que desejar. O servidor, sem valores vinculados ao token para validar, aceita a configuração do invasor.

Aviso importante: As fontes fornecidas não incluem a documentação oficial do Google para live_connect_constraints, um CVE ou um comunicado de segurança do Google confirmando esse comportamento. A alegação vem do post no Medium de Ferdiansyah e deve ser tratada como não verificada, mas plausível .

Impacto: O que um invasor poderia fazer com um token sem restrições

Se a vulnerabilidade for real, as consequências são significativas para qualquer aplicação que use a API Gemini Live em um contexto de navegador:

• Execução de código em sandbox via ferramentas — Os exemplos da API Gemini Live incluem suporte no lado do cliente para adicionar ferramentas personalizadas . Um invasor que consiga injetar uma definição de ferramenta maliciosa poderia potencialmente executar código dentro da sandbox da aplicação.
• Abuso de computação — Uma sessão sequestrada consome a cota e a alocação de faturamento da aplicação vítima. Como os tokens efêmeros são projetados para conexões de uso único, um invasor também poderia solicitar repetidamente novos tokens através do endpoint de criação do backend, potencialmente aumentando os custos .
• Adulteração de prompt — Controlar o frame de configuração significa controlar a instrução do sistema. Um invasor poderia redirecionar a sessão para extrair informações confidenciais, gerar conteúdo prejudicial ou se passar por um agente confiável .
• Abuso repetido de sessão — As sessões da API Live têm um limite de conexão de aproximadamente 10 minutos . Um invasor precisaria se reconectar, mas usando o mesmo fluxo de token sem restrições, poderia sequestrar a sessão repetidamente.

Desenvolvedores no fórum do Google AI relataram problemas com tokens efêmeros ignorando instruções do sistema e não funcionando como esperado com endpoints restritos, sugerindo que o ecossistema mais amplo ainda está amadurecendo .

A correção de um campo

A correção descrita por Ferdiansyah é direta: preencher o campo

live_connect_constraints.bidi_generate_content_setup

1. model — O modelo Gemini exato a ser usado (ex.: models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — O prompt de sistema pretendido, estruturado como parts contendo text.
3. tools — Um array vazio [] ou apenas ferramentas explicitamente permitidas, evitando a injeção no lado do cliente.

Aqui está o código Python ilustrativo da publicação de Ferdiansyah :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Você é um assistente de suporte ao cliente..."}]
            },
            "tools": []
        }
    }
})

Nota: Como live_connect_constraints não está documentado na referência oficial da API Google fornecida nas fontes, este exemplo é baseado na própria descrição de Ferdiansyah e deve ser testado com a API real antes do uso em produção .

O que ainda não foi confirmado

Os seguintes pontos-chave permanecem não verificados pelas fontes fornecidas:

• Nenhuma documentação oficial do Google confirma a existência ou o esquema de live_connect_constraints.
• Nenhum CVE ou comunicado de segurança foi publicado.
• Nenhuma reprodução independente da exploração está incluída nas fontes.
• O comportamento exato do endpoint BidiGenerateContentConstrained ao receber um token sem restrições não está documentado nas referências oficiais fornecidas .

O que os desenvolvedores devem fazer agora

Até que o Google publique um comunicado oficial, a abordagem mais segura é tratar a vulnerabilidade como plausível e aplicar a correção proativamente:

1. Audite seu código de criação de token efêmero — Verifique se seu backend preenche live_connect_constraints ou seu campo equivalente.
2. Nunca exponha chaves de API brutas — Sempre use tokens efêmeros para conexões voltadas para o navegador .
3. Defina uma expiração de token restrita — O Google recomenda newSessionExpireTime de cerca de 60 segundos para limitar a janela para roubo de token .
4. Valide frames de configuração no lado do servidor — Mesmo que os clientes enviem sua própria configuração, seu backend deve aplicar o modelo, prompt e ferramentas pretendidos.
5. Monitore quanto a abusos — Fique atento a padrões de sessão incomuns, especialmente conexões repetidas do mesmo token ou invocações inesperadas de ferramentas.

A API Gemini Live é uma ferramenta poderosa para construir experiências de voz e vídeo em tempo real. Um único campo ausente no processo de criação de token não deve prejudicar essa capacidade — mas os desenvolvedores devem garantir que suas implementações estejam completas.

Este artigo foi verificado com base em 27 fontes fornecidas, incluindo documentação oficial do Google, discussões em fóruns da comunidade e a publicação original do pesquisador. As principais alegações do pesquisador não puderam ser verificadas de forma independente a partir de fontes oficiais no momento da publicação.