Критична вразливість Gemini Live API: відсутнє поле в токені дозволяє зловмисникам перехоплювати AI-голосові сесії

Відсутнє поле live_connect_constraints

Згідно з дописом Фердіансяха, в еталонній реалізації створення токена було пропущено поле live_connect_constraints . Це поле має містити об'єкт bidi_generate_content_setup, який прив'язує токен до конкретної моделі, системної інструкції та набору інструментів.

Коли live_connect_constraints порожнє або відсутнє, жодних обмежень не застосовується. Зловмисник, який отримав ефемерний токен, може надіслати контрольований клієнтом setup-фрейм, вказавши будь-яку модель, системний промпт та інструменти. Сервер, не маючи прив'язаних до токена значень для перевірки, приймає конфігурацію зловмисника.

Важливе зауваження: Надані джерела не містять офіційної документації Google щодо live_connect_constraints, CVE або підтвердження цієї поведінки від Google. Заява базується на дописі Фердіансяха в Medium і має вважатися непідтвердженою, але правдоподібною .

Наслідки: що може зробити зловмисник з необмеженим токеном

Якщо вразливість реальна, наслідки є значними для будь-якого застосунку, який використовує Gemini Live API в браузері:

• Виконання коду в пісочниці через інструменти — Приклади Gemini Live API включають підтримку додавання користувацьких інструментів на стороні клієнта . Зловмисник, який може впровадити шкідливе визначення інструмента, потенційно здатний виконати код у пісочниці застосунку.
• Зловживання обчислювальними ресурсами — Перехоплена сесія споживає квоту та білінг цільового застосунку. Оскільки ефемерні токени призначені для одноразових з'єднань, зловмисник також може неодноразово запитувати нові токени через бекенд, потенційно збільшуючи витрати .
• Підміна промпту — Контроль над setup-фреймом означає контроль над системною інструкцією. Зловмисник може використати сесію для викрадення чутливої інформації, генерування шкідливого контенту або імітації довіреної особи .
• Багаторазове зловживання сесією — Сесії Live API мають ліміт з'єднання близько 10 хвилин . Зловмиснику потрібно буде перепідключатися, але, використовуючи той самий необмежений потік токенів, він зможе повторно перехоплювати сесію.

Розробники на форумі Google AI повідомляли про проблеми з ігноруванням системних інструкцій ефемерними токенами та про некоректну роботу з обмеженими кінцевими точками, що свідчить про те, що екосистема все ще дозріває .

Виправлення одним полем

Рішення, описане Фердіансяхом, є простим: заповнити поле

live_connect_constraints.bidi_generate_content_setup

1. model — Точна модель Gemini для використання (наприклад, models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Цільовий системний промпт, структурований як parts, що містять text.
3. tools — Порожній масив [] або лише явно дозволені інструменти, що запобігає ін'єкції на стороні клієнта.

Ось ілюстративний код Python із допису Фердіансяха :

Примітка: Оскільки live_connect_constraints не задокументовано в офіційній довідці Google API, цей приклад базується на власному описі Фердіансяха і має бути протестований з реальним API перед використанням у продакшені .

Що залишається непідтвердженим

Наступні ключові моменти залишаються неперевіреними на основі наданих джерел:

• Не існує офіційної документації Google, яка б підтверджувала існування або схему live_connect_constraints.
• Не опубліковано жодного CVE або бюлетеня безпеки.
• Незалежне відтворення експлойту не включено в надані джерела.
• Точна поведінка кінцевої точки BidiGenerateContentConstrained при отриманні необмеженого токена не задокументована в наданих офіційних матеріалах .

Що робити розробникам прямо зараз

Поки Google не опублікує офіційне повідомлення, найбезпечніший підхід — вважати вразливість правдоподібною та застосувати виправлення проактивно:

1. Перевірте свій код створення ефемерних токенів — Переконайтеся, що ваш бекенд заповнює live_connect_constraints або його еквівалентне поле.
2. Ніколи не розкривайте сирі API-ключі — Завжди використовуйте ефемерні токени для з'єднань з браузера .
3. Встановлюйте короткий термін дії токена — Google рекомендує newSessionExpireTime близько 60 секунд, щоб обмежити вікно для викрадення токена .
4. Перевіряйте setup-фрейми на стороні сервера — Навіть якщо клієнти надсилають власну конфігурацію, ваш бекенд повинен застосовувати цільову модель, промпт та інструменти.
5. Моніторте на предмет зловживань — Слідкуйте за незвичними патернами сесій, особливо за повторними з'єднаннями з одного токена або неочікуваними викликами інструментів.

Gemini Live API — це потужний інструмент для створення голосових та відео-додатків у реальному часі. Одне пропущене поле в процесі створення токена не повинно підривати цю можливість, але розробники повинні переконатися, що їхні реалізації є повними.

Цю статтю було перевірено за 27 наданими джерелами, включаючи офіційну документацію Google, обговорення на форумах спільноти та оригінальний допис дослідника. Ключові твердження дослідника на момент публікації не вдалося незалежно підтвердити з офіційних джерел.