AIPress.com.cn报道
3月2日消息,TruffleSecurity研究人员披露了一项安全研究,指出 Google Cloud API 密钥——谷歌多年来明确告知开发者可以安全嵌入公共代码的凭证——如今可以在无提示的情况下与 Gemini API 进行身份验证,从而让任何发现这些密钥的人访问上传文件、缓存数据以及计费的 AI 资源。
该问题于 2026 年 2 月 26 日公开,此前经历了 90 天的协调披露流程。谷歌最初驳回报告,随后承认问题并开始修复。
这一发现迅速引发关注。安全研究员 John Hammond(YouTube 订阅者 212 万)在披露当天发布视频,72 小时内观看量超过 8.2 万次。
核心信息是:曾被官方文档标注为“可安全共享”的 API 密钥,在规则改变后不再安全,而几乎没有人意识到这一变化。问题并非开发者误用,而是权限模型在未通知的情况下发生了变化。
谷歌官方文档长期指导开发者创建 API 密钥并直接嵌入网页 HTML。
例如 Maps Java API 示例将密钥放在从 maps.googleapis.com 加载的