Критическая уязвимость Gemini Live API: как пропущенное поле в токене позволяло перехватывать голосовые сессии

Отсутствующее поле live_connect_constraints

Согласно публикации Фердиансяха, в эталонной реализации создания токена было пропущено поле live_connect_constraints ^A. Это поле предназначено для хранения объекта bidi_generate_content_setup, который привязывает токен к конкретной модели, системной инструкции и набору инструментов.

Если live_connect_constraints пусто или отсутствует, никакие ограничения не применяются. Злоумышленник, получивший эфемерный токен, может отправить управляющий фрейм от клиента, указав любую модель, системный промпт и инструменты. Сервер, не имея привязанных к токену значений для проверки, принимает конфигурацию атакующего.

Важное примечание: В предоставленных источниках отсутствует официальная документация Google для live_connect_constraints, CVE или официальное уведомление Google о безопасности, подтверждающее такое поведение. Утверждение основано на публикации Фердиансяха в Medium и должно рассматриваться как неподтвержденное, но правдоподобное ^A.

Возможные последствия: что может сделать злоумышленник с неограниченным токеном

Если уязвимость реальна, последствия для любого приложения, использующего Gemini Live API в контексте браузера, весьма серьезны:

• Выполнение кода в песочнице через инструменты — Примеры использования Gemini Live API включают поддержку пользовательских инструментов на стороне клиента ^D. Атакующий, который может внедрить вредоносное определение инструмента, потенциально способен выполнить код в песочнице приложения.
• Злоупотребление вычислительными ресурсами — Перехваченная сессия потребляет квоту и средства приложения-жертвы. Поскольку эфемерные токены предназначены для одноразового использования, атакующий может также многократно запрашивать новые токены через эндпоинт создания на backend, что потенциально способно привести к росту затрат ^G.
• Подмена промпта — Управляя фреймом настройки, можно контролировать системную инструкцию. Атакующий может перенаправить сессию для извлечения конфиденциальной информации, генерации вредоносного контента или выдачи себя за доверенного агента ^D.
• Многократное злоупотребление сессией — Сессии Live API имеют ограничение на время подключения — примерно 10 минут ^DD. Атакующему потребуется переподключаться, но, используя тот же поток токенов без ограничений, он сможет многократно перехватывать сессию.

Разработчики на форуме Google AI сообщали о проблемах с игнорированием системных инструкций эфемерными токенами и о том, что они не работают должным образом с ограниченными конечными точками, что говорит о продолжающемся развитии экосистемы ^DD.

Исправление в одно поле

Описанное Фердиансяхом исправление довольно простое: заполнить поле live_connect_constraints.bidi_generate_content_setup при создании токена тремя значениями:

1. model — Точная модель Gemini для использования (например, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Целевой системный промпт, структурированный как parts, содержащие text.
3. tools — Пустой массив [] или только явно разрешенные инструменты, предотвращая внедрение на стороне клиента.

Вот пример кода на Python из публикации Фердиансяха ^A:

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Вы — ассистент службы поддержки клиентов..."}]
            },
            "tools": []
        }
    }
})

Примечание: Поскольку live_connect_constraints не задокументирован в официальном справочнике Google API из источников, этот пример основан на собственном описании Фердиансяха и должен быть протестирован на реальном API перед использованием в промышленной среде ^A.

Что остается неподтвержденным

Следующие ключевые моменты остаются неподтвержденными предоставленными источниками:

• Нет официальной документации Google, подтверждающей существование или схему live_connect_constraints.
• Нет опубликованных CVE или уведомлений о безопасности.
• Нет независимого воспроизведения эксплойта в предоставленных источниках.
• Точное поведение конечной точки BidiGenerateContentConstrained при получении неограниченного токена не задокументировано в предоставленных официальных источниках ^DS.

Что делать разработчикам сейчас

Пока Google не опубликует официальное уведомление, самым безопасным подходом будет считать уязвимость вероятной и применить исправление превентивно:

1. Проверьте свой код создания эфемерных токенов — Убедитесь, что ваш backend заполняет live_connect_constraints или его эквивалентное поле.
2. Никогда не раскрывайте сырые API-ключи — Всегда используйте эфемерные токены для подключений из браузера ^S.
3. Установите короткий срок действия токена — Google рекомендует newSessionExpireTime около 60 секунд, чтобы ограничить окно для кражи токена ^G.
4. Проверяйте управляющие фреймы на стороне сервера — Даже если клиенты отправляют свою собственную конфигурацию, ваш backend должен принудительно применять целевую модель, промпт и инструменты.
5. Мониторьте злоупотребления — Следите за необычными сессионными паттернами, особенно за повторными подключениями с одного и того же токена или неожиданными вызовами инструментов.

Gemini Live API — это мощный инструмент для создания голосовых и видеоинтерфейсов в реальном времени. Одно пропущенное поле в процессе создания токена не должно подрывать эту возможность, но разработчики должны убедиться, что их реализации завершены.

Эта статья была проверена по 27 предоставленным источникам, включая официальную документацию Google, обсуждения на форумах сообщества и оригинальную публикацию исследователя. Ключевые утверждения исследователя не могли быть независимо проверены по официальным источникам на момент публикации.