Phát Hiện Lỗ Hổng Nghiêm Trọng Trong API Gemini Live: Token Tạm Thời Có Thể Bị Lợi Dụng Để Chiếm Quyền Điều Khiển

Trường live_connect_constraints Bị Thiếu

Theo bài viết của Ferdiansyah, quá trình triển khai tham chiếu cho việc tạo token tạm thời đã bỏ qua trường live_connect_constraints . Trường này được cho là chứa một đối tượng bidi_generate_content_setup để ràng buộc token với một mô hình, hướng dẫn hệ thống và bộ công cụ cụ thể.

Khi live_connect_constraints bị bỏ trống hoặc không có, không có ràng buộc nào được thực thi. Kẻ tấn công có được token tạm thời sau đó có thể gửi một khung thiết lập do máy khách kiểm soát (client-controlled setup frame) chỉ định bất kỳ mô hình, lời nhắc hệ thống và công cụ nào chúng chọn. Máy chủ, thiếu các giá trị ràng buộc với token để xác thực, sẽ chấp nhận cấu hình của kẻ tấn công.

Lưu ý quan trọng: Các nguồn được cung cấp không bao gồm tài liệu chính thức của Google về live_connect_constraints, CVE hoặc xác nhận bảo mật từ Google xác nhận hành vi này. Tuyên bố đến từ bài đăng trên Medium của Ferdiansyah và nên được coi là chưa được xác minh nhưng có khả năng xảy ra .

Tác Động: Kẻ Tấn Công Có Thể Làm Gì Với Một Token Không Bị Ràng Buộc

Nếu lỗ hổng là có thật, hậu quả sẽ rất nghiêm trọng đối với bất kỳ ứng dụng nào sử dụng API Gemini Live trong bối cảnh trình duyệt:

• Thực thi mã trong môi trường sandbox thông qua các công cụ — Các ví dụ về API Gemini Live bao gồm hỗ trợ phía máy khách để thêm các công cụ tùy chỉnh . Kẻ tấn công có thể tiêm một định nghĩa công cụ độc hại để thực thi mã trong môi trường sandbox của ứng dụng.
• Lạm dụng tài nguyên tính toán — Một phiên bị chiếm quyền sẽ tiêu thụ hạn ngạch và chi phí của ứng dụng nạn nhân. Vì token tạm thời được thiết kế cho các kết nối sử dụng một lần, kẻ tấn công cũng có thể liên tục yêu cầu token mới thông qua điểm cuối tạo token của máy chủ phụ trợ, có khả năng làm tăng chi phí .
• Giả mạo lời nhắc (Prompt tampering) — Kiểm soát khung thiết lập đồng nghĩa với việc kiểm soát hướng dẫn hệ thống. Kẻ tấn công có thể chiếm dụng phiên để trích xuất thông tin nhạy cảm, tạo nội dung có hại hoặc mạo danh một tác nhân đáng tin cậy .
• Lạm dụng phiên lặp lại — Các phiên Live API có giới hạn kết nối khoảng 10 phút . Kẻ tấn công sẽ cần kết nối lại, nhưng sử dụng cùng một luồng token không bị ràng buộc, chúng có thể liên tục chiếm quyền phiên.

Các nhà phát triển trên diễn đàn Google AI đã báo cáo các sự cố với token tạm thời bỏ qua hướng dẫn hệ thống và không hoạt động như mong đợi với các điểm cuối bị ràng buộc, cho thấy hệ sinh thái rộng lớn hơn vẫn đang trong quá trình hoàn thiện .

Cách Khắc Phục Chỉ Với Một Trường

Biện pháp khắc phục được Ferdiansyah mô tả khá đơn giản: điền vào trường

live_connect_constraints.bidi_generate_content_setup

1. model — Mô hình Gemini chính xác cần sử dụng (ví dụ: models/gemini-2.5-flash-native-audio-latest).
2. system_instruction — Lời nhắc hệ thống dự định, được cấu trúc dưới dạng parts chứa text.
3. tools — Một mảng rỗng [] hoặc chỉ các công cụ được phép một cách rõ ràng, ngăn chặn việc tiêm từ phía máy khách.

Dưới đây là mã Python minh họa từ bài viết của Ferdiansyah :

Lưu ý: Vì live_connect_constraints không được ghi lại trong tài liệu tham khảo API chính thức của Google được cung cấp, ví dụ này dựa trên mô tả của riêng Ferdiansyah và cần được kiểm tra với API thực tế trước khi sử dụng trong sản xuất .

Những Gì Vẫn Chưa Được Xác Nhận

Các điểm chính sau đây vẫn chưa được xác minh bởi các nguồn được cung cấp:

• Không có tài liệu chính thức nào của Google xác nhận sự tồn tại hoặc lược đồ của live_connect_constraints.
• Không có CVE hoặc thông báo bảo mật nào được công bố.
• Không có sự tái tạo độc lập nào về việc khai thác được bao gồm trong các nguồn.
• Hành vi chính xác của điểm cuối BidiGenerateContentConstrained khi nhận được một token không bị ràng buộc không được ghi lại trong các tài liệu tham khảo chính thức được cung cấp .

Các Nhà Phát Triển Nên Làm Gì Ngay Bây Giờ

Cho đến khi Google công bố một thông báo chính thức, cách tiếp cận an toàn nhất là coi lỗ hổng này là có khả năng xảy ra và áp dụng biện pháp khắc phục một cách chủ động:

1. Kiểm tra mã tạo token tạm thời của bạn — Kiểm tra xem máy chủ phụ trợ của bạn có điền live_connect_constraints hoặc trường tương đương hay không.
2. Không bao giờ để lộ khóa API thô — Luôn sử dụng token tạm thời cho các kết nối đối diện với trình duyệt .
3. Đặt thời gian hết hạn token chặt chẽ — Google khuyến nghị newSessionExpireTime khoảng 60 giây để giới hạn thời gian cho việc đánh cắp token .
4. Xác thực các khung thiết lập phía máy chủ — Ngay cả khi máy khách gửi cấu hình của riêng chúng, máy chủ phụ trợ của bạn nên thực thi mô hình, lời nhắc và công cụ dự định.
5. Giám sát để phát hiện lạm dụng — Theo dõi các mẫu phiên bất thường, đặc biệt là các kết nối lặp đi lặp lại từ cùng một token hoặc các lệnh gọi công cụ không mong muốn.

API Gemini Live là một công cụ mạnh mẽ để xây dựng các trải nghiệm giọng nói và video thời gian thực. Một trường bị thiếu trong quá trình tạo token không nên làm suy yếu khả năng đó — nhưng các nhà phát triển phải đảm bảo việc triển khai của họ được hoàn chỉnh.

Bài viết này đã được kiểm tra thực tế dựa trên 27 nguồn được cung cấp, bao gồm tài liệu chính thức của Google, thảo luận trên diễn đàn cộng đồng và bài viết gốc của nhà nghiên cứu. Các tuyên bố chính từ nhà nghiên cứu không thể được xác minh độc lập từ các nguồn chính thức tại thời điểm xuất bản.