答案已發布16 個來源
Google Cloud API 金鑰刪除後仍可能運作長達 23 分鐘
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。 原因是金鑰撤銷需要在 Google 的分散式基礎設施中逐步傳播，並非所有伺服器會同時更新。 在修正之前，組織應假設刪除金鑰仍存在短暫風險窗口，並透過監控、限制與金鑰輪替降低影響。
發布者使用 GPT-5.5 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- 資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。
- 原因是金鑰撤銷需要在 Google 的分散式基礎設施中逐步傳播，並非所有伺服器會同時更新。
- 在修正之前，組織應假設刪除金鑰仍存在短暫風險窗口，並透過監控、限制與金鑰輪替降低影響。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
當開發者在 Google Cloud 中刪除 API 金鑰時，通常會認為該憑證會立即失效。但資安公司 Aikido Security 的研究顯示，實際情況並非如此：被刪除的金鑰仍可能在一段時間內繼續通過驗證並使用 API。
研究人員測試發現，在刪除金鑰後的一段時間內，系統仍會接受該金鑰的請求。實驗結果顯示：
- 最短仍可使用：約 8 分鐘
- 最長可達：約 23 分鐘
- 中位數：約 16 分鐘
也就是說，即使 Google Cloud 控制台顯示金鑰已被刪除，平台某些節點仍可能短暫接受該金鑰進行 API 驗證。
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「Google Cloud API 金鑰刪除後仍可能運作長達 23 分鐘」的簡短答案是什麼？
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。
最值得優先驗證的重點是什麼？
資安研究發現，Google Cloud API 金鑰刪除後仍可在 8–23 分鐘內通過驗證，平均約 16 分鐘。 原因是金鑰撤銷需要在 Google 的分散式基礎設施中逐步傳播，並非所有伺服器會同時更新。
接下來在實務上該怎麼做？
在修正之前，組織應假設刪除金鑰仍存在短暫風險窗口，並透過監控、限制與金鑰輪替降低影響。
來源
helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion