为什么会出现“删除后仍可用”

问题的根源在于大型分布式系统的同步机制。Google Cloud 的认证服务由大量后端系统组成，当 API 密钥被删除时，撤销信息不会同时同步到所有服务器。部分节点会迅速拒绝该密钥，但另一些节点可能在更新传播完成前仍然接受它。

Aikido 在两天内进行了 10 次实验：

• 每次创建新的 API 密钥
• 删除该密钥
• 持续发送认证请求测试是否还能通过

结果显示，在撤销信息完全传播之前，系统仍会间歇性接受该密钥，从而形成 8–23 分钟 的有效窗口。

换句话说，在控制台看起来已经“删除”的密钥，实际上在某些后端服务上仍可能短暂有效。

对云服务的潜在风险

当企业发现 API 密钥泄露时，立即撤销通常是最关键的应急措施。但这一延迟意味着：即使开发者已经删除密钥，攻击者仍可能继续使用它一段时间。

如果攻击者在这段窗口期内掌握了泄露的密钥，他们可能：

• 调用该项目启用的 API
• 持续发送请求执行操作
• 产生额外的云资源使用或账单费用

研究人员表示，他们在配置为访问 Gemini 的 API 密钥上发现了这一问题，同时在 BigQuery、Google Maps 等其他 Google Cloud API 上也观察到了相同的行为。这说明问题与具体服务无关，而是 API Key 这种凭证类型本身的撤销机制导致的延迟。

Google 的回应

根据研究披露和相关报道，Google 最初将该问题视为 分布式系统中的传播延迟（propagation delay），而不是需要立即修复的严重漏洞，一度以“不会修复（won’t fix）”关闭报告。

在进一步审查后，该报告后来被重新打开，并在内部被标记为 P0 级别问题，意味着需要最高优先级调查处理。

技术上看，这种情况源于撤销更新需要在基础设施中逐步传播，因此不同请求可能由不同后端节点处理，从而出现时间差。

开发者和安全团队的应对建议

在撤销机制无法保证即时生效之前，安全团队应当假设：删除 API 密钥并不会立即阻止所有访问。

可采取的实践包括：

把删除视为“延迟生效”的措施
在应急响应中预留约 30 分钟的风险窗口，因为密钥在此期间仍可能被使用。

密切监控日志和账单
在删除密钥后，如果出现异常 API 调用或费用激增，可能意味着攻击者仍在利用传播延迟窗口。

为 API 密钥设置严格限制
Google 建议对 API 密钥设置来源限制，例如允许的 IP 地址、HTTP 引用来源或限定可调用的 API，从而降低密钥泄露后的可用性。

轮换和更新凭证
除了删除密钥，还应尽快生成新密钥并更新应用使用的凭证，以减少潜在滥用时间。

云安全的一个现实提醒

这项研究也揭示了一个常被忽视的事实：在大型分布式云平台中，配置变更（包括权限和凭证撤销）往往不是即时生效，而是逐步传播。

因此，在安全运营中需要牢记一个简单原则：“已删除”并不总是意味着“立即失效”。

为什么会出现“删除后仍可用”

问题的根源在于大型分布式系统的同步机制。Google Cloud 的认证服务由大量后端系统组成，当 API 密钥被删除时，撤销信息不会同时同步到所有服务器。部分节点会迅速拒绝该密钥，但另一些节点可能在更新传播完成前仍然接受它。

Aikido 在两天内进行了 10 次实验：

• 每次创建新的 API 密钥
• 删除该密钥
• 持续发送认证请求测试是否还能通过

结果显示，在撤销信息完全传播之前，系统仍会间歇性接受该密钥，从而形成 8–23 分钟 的有效窗口。

换句话说，在控制台看起来已经“删除”的密钥，实际上在某些后端服务上仍可能短暂有效。

对云服务的潜在风险

当企业发现 API 密钥泄露时，立即撤销通常是最关键的应急措施。但这一延迟意味着：即使开发者已经删除密钥，攻击者仍可能继续使用它一段时间。

如果攻击者在这段窗口期内掌握了泄露的密钥，他们可能：

• 调用该项目启用的 API
• 持续发送请求执行操作
• 产生额外的云资源使用或账单费用

研究人员表示，他们在配置为访问 Gemini 的 API 密钥上发现了这一问题，同时在 BigQuery、Google Maps 等其他 Google Cloud API 上也观察到了相同的行为。这说明问题与具体服务无关，而是 API Key 这种凭证类型本身的撤销机制导致的延迟。

Google 的回应

根据研究披露和相关报道，Google 最初将该问题视为 分布式系统中的传播延迟（propagation delay），而不是需要立即修复的严重漏洞，一度以“不会修复（won’t fix）”关闭报告。

在进一步审查后，该报告后来被重新打开，并在内部被标记为 P0 级别问题，意味着需要最高优先级调查处理。

技术上看，这种情况源于撤销更新需要在基础设施中逐步传播，因此不同请求可能由不同后端节点处理，从而出现时间差。

开发者和安全团队的应对建议

在撤销机制无法保证即时生效之前，安全团队应当假设：删除 API 密钥并不会立即阻止所有访问。

可采取的实践包括：

把删除视为“延迟生效”的措施
在应急响应中预留约 30 分钟的风险窗口，因为密钥在此期间仍可能被使用。

密切监控日志和账单
在删除密钥后，如果出现异常 API 调用或费用激增，可能意味着攻击者仍在利用传播延迟窗口。

为 API 密钥设置严格限制
Google 建议对 API 密钥设置来源限制，例如允许的 IP 地址、HTTP 引用来源或限定可调用的 API，从而降低密钥泄露后的可用性。

轮换和更新凭证
除了删除密钥，还应尽快生成新密钥并更新应用使用的凭证，以减少潜在滥用时间。

云安全的一个现实提醒

这项研究也揭示了一个常被忽视的事实：在大型分布式云平台中，配置变更（包括权限和凭证撤销）往往不是即时生效，而是逐步传播。

因此，在安全运营中需要牢记一个简单原则：“已删除”并不总是意味着“立即失效”。