Google API

Googleの「公開可能」なAPIキーがGeminiの認証キーと共通化されたことで個人情報流出の危険が発生している

FirebaseやGoogle マップのAPIキーはドキュメント上で「公開しても安全」と案内されていた

Geminiの登場により「APIキーを公開しても被害がない」という前提が崩壊した

Truffle Securityの調査により同じキーで管理者のGemini APIにアクセス可能なことが判明

ウェブサイト管理者が同一プロジェクト内でGemini APIを有効化すると外部から攻撃が可能になる

過去に公開したAPIキーを用いてGeminiで利用中の各種ファイルを盗み出される

第三者がGeminiを不正利用し管理者に多額のAPI使用料を課す

Googleは当初修正を拒否したが再報告を受けてバグとして対応を開始した

2025年11月の報告に対しGoogleは一度「意図的な動作」として修正を拒否した

Google自身のデータへのアクセス事例を提示したことでバグへと再分類された

90日の情報開示保留期間を過ぎても問題が完全解決せず今回の公表に至った

Truffle SecurityはGoogle API利用者に対しGemini APIの権限確認を推奨している