Säkerhetshål i Googles Gemini Live API: Saknat fält öppnade för kapning av AI-röstsessioner

I slutet av juni 2026 publicerade säkerhetsforskaren Alvin Ferdiansyah en detaljerad genomgång av vad han beskrev som en kritisk felkonfiguration i Googles system för ephemeral-tokens i Gemini Live API. Sårbarheten, om den bekräftas, gör det möjligt för en angripare som kommer över en kortlivad WebSocket-token att kapa en AI-röstsession i webbläsaren – och därmed kontrollera modellen, systemprompten och till och med de verktyg sessionen får använda.

Kärnan i sårbarheten är ett saknat säkerhetsfält när token skapas. Här är vad vi vet, vad som fortfarande är obekräftat och hur utvecklare kan skydda sina applikationer redan nu.

Så fungerar systemet med ephemeral-tokens i Gemini Live API

Gemini Live API stöder WebSocket-anslutningar från webbläsare till server med hjälp av ephemeral-tokens – kortlivade autentiseringstoken som snabbt löper ut och kan begränsas till specifik användning . Dessa token skapas av en backend-server och skickas sedan till klienten, som använder dem för att ansluta direkt till Gemini API utan att exponera den underliggande API-nyckeln.

I Googles dokumentation förklaras att ephemeral-tokens är utformade för implementationer där klienten ansluter direkt till servern och säkerhet är en prioritering. Även om token extraheras från en webbläsare begränsar den korta livslängden skadan . Slutpunkten för dessa begränsade anslutningar är BidiGenerateContentConstrained, som accepterar den ephemerala token som en access_token-parameter i URL:en .

Det saknade fältet live_connect_constraints

Enligt Ferdiansyahs analys utelämnade referensimplementationen för att skapa token fältet live_connect_constraints . Detta fält är tänkt att innehålla ett bidi_generate_content_setup-objekt som binder token till en specifik modell, systeminstruktion och uppsättning verktyg.

När live_connect_constraints lämnas tomt eller helt enkelt utelämnas, tillämpas inga begränsningar. En angripare som får tag på den ephemerala token kan då skicka en klientstyrd setup-frame med valfri modell, systemprompt och verktyg. Eftersom servern saknar token-bundna värden att validera mot, accepterar den angriparens konfiguration.

Viktigt förbehåll: De tillhandahållna källorna innehåller ingen officiell Googledokumentation för live_connect_constraints, ingen CVE och ingen Googles säkerhetsadvisory som bekräftar detta beteende. Påståendet kommer från Ferdiansyahs Medium-inlägg och bör behandlas som overifierat men trovärdigt .

Konsekvenser: Vad en angripare kan göra med en obegränsad token

Om sårbarheten är verklig är konsekvenserna betydande för alla applikationer som använder Gemini Live API i en webbläsarkontext:

• Sandlådeexekvering av kod via verktyg – Exemplen för Gemini Live API inkluderar stöd på klientsidan för att lägga till anpassade verktyg . En angripare som kan injicera en skadlig verktygsdefinition skulle potentiellt kunna exekvera kod i applikationens sandlåda.
• Missbruk av beräkningsresurser – En kapad session förbrukar den utsatta applikationens kvot och debitering. Eftersom ephemeral-tokens är utformade för engångsanslutningar, skulle en angripare också kunna begära nya token upprepade gånger via backendens token-skapande endpoint, vilket potentiellt driver upp kostnaderna .
• Manipulation av prompt – Att kontrollera setup-framen innebär att man kontrollerar systeminstruktionen. En angripare skulle kunna använda sessionen för att extrahera känslig information, generera skadligt innehåll eller utge sig för att vara en betrodd agent .
• Upprepat sessionsmissbruk – Live API-sessioner har en anslutningsgräns på cirka 10 minuter . En angripare skulle behöva återansluta, men genom att använda samma obegränsade tokenflöde skulle de kunna kapa sessionen upprepade gånger.

Utvecklare i Googles AI-forum har rapporterat problem med att ephemeral-tokens ignorerar systeminstruktioner och inte fungerar som förväntat med begränsade endpoints, vilket tyder på att det bredare ekosystemet fortfarande mognar .

Åtgärden: Ett enda fält

Den åtgärd som Ferdiansyah beskriver är enkel: populera fältet

live_connect_constraints.bidi_generate_content_setup

1. model – Den exakta Gemini-modell som ska användas (t.ex. models/gemini-2.5-flash-native-audio-latest).
2. system_instruction – Den avsedda systemprompten, strukturerad som parts som innehåller text.
3. tools – En tom array [] eller endast explicit tillåtna verktyg, för att förhindra injektion från klientsidan.

Här är den illustrativa Python-koden från Ferdiansyahs inlägg :

token = gemini_client.auth_tokens.create({
    "uses": 1,
    "expire_time": now + timedelta(seconds=60),
    "new_session_expire_time": now + timedelta(seconds=60),
    "live_connect_constraints": {
        "bidi_generate_content_setup": {
            "model": "models/gemini-2.5-flash-native-audio-latest",
            "system_instruction": {
                "parts": [{"text": "Du är en kundsupportassistent..."}]
            },
            "tools": []
        }
    }
})

Obs: Eftersom live_connect_constraints inte dokumenteras i den officiella Google API-referensen som ingår i källorna, är detta exempel baserat på Ferdiansyahs egen beskrivning och bör testas mot det faktiska API:et före användning i produktion .

Vad är fortfarande obekräftat

Följande viktiga punkter är fortfarande overifierade enligt de tillhandahållna källorna:

• Ingen officiell Googledokumentation bekräftar existensen eller schemat för live_connect_constraints.
• Ingen CVE eller säkerhetsadvisory har publicerats.
• Ingen oberoende reproduktion av exploiten ingår i källorna.
• Det exakta beteendet hos slutpunkten BidiGenerateContentConstrained när den tar emot en obegränsad token dokumenteras inte i de medföljande officiella referenserna .

Vad utvecklare bör göra nu

Tills Google publicerar en officiell rekommendation är det säkraste tillvägagångssättet att behandla sårbarheten som trolig och tillämpa åtgärden proaktivt:

1. Granska din kod för att skapa ephemeral-tokens – Kontrollera om din backend populiserar live_connect_constraints eller motsvarande fält.
2. Exponera aldrig råa API-nyckler – Använd alltid ephemeral-tokens för anslutningar från webbläsare .
3. Sätt kort token-utgångstid – Google rekommenderar newSessionExpireTime på cirka 60 sekunder för att begränsa tidsfönstret för token-stöld .
4. Validera setup-frames serversidigt – Även om klienter skickar sin egen konfiguration bör din backend tvinga den avsedda modellen, prompten och verktygen.
5. Övervaka missbruk – Håll utkik efter ovanliga sessionsmönster, särskilt upprepade anslutningar från samma token eller oväntade verktygsanrop.

Gemini Live API är ett kraftfullt verktyg för att bygga realtidsupplevelser med röst och video. Ett enda saknat fält i token-skapandeprocessen bör inte underminera den förmågan – men utvecklare måste se till att deras implementationer är kompletta.

Denna artikel har faktagranskats mot 27 tillhandahållna källor, inklusive officiell Googledokumentation, diskussioner i community-forum och den ursprungliga forskarens inlägg. Viktiga påståenden från forskaren kunde inte oberoende verifieras från officiella källor vid publiceringstillfället.