Kunci Google API untuk layanan seperti Maps yang tertanam dalam kode sisi klien yang dapat diakses dapat digunakan untuk mengautentikasi ke asisten Gemini AI dan mengakses data pribadi.
Para peneliti menemukan hampir 3.000 kunci tersebut saat memindai halaman internet dari organisasi di berbagai sektor, dan bahkan dari Google.
Masalahnya terjadi ketika Google memperkenalkan asisten Gemini, dan pengembang mulai mengaktifkan LLM API dalam proyek. Sebelumnya, kunci Google Cloud API tidak dianggap sebagai data sensitif dan dapat diekspos secara online tanpa risiko.
Pengembang dapat menggunakan kunci API untuk memperluas fungsionalitas dalam proyek, seperti memuat Maps di situs web untuk berbagi lokasi, untuk penyematan YouTube, pelacakan penggunaan, atau layanan Firebase.
Saat Gemini diperkenalkan, kunci API Google Cloud juga berfungsi sebagai kredensial autentikasi untuk asisten AI Google.
Para peneliti di TruffleSecurity menemukan masalah ini dan memperingatkan bahwa penyerang dapat menyalin kunci API dari sumber halaman situs web dan mengakses data pribadi yang tersedia melalui layanan API Gemini.
Karena penggunaan API Gemini tidak gratis, penyerang dapat memanfaatkan akses dan melakukan panggilan API untuk keuntungan mereka.
“Bergantung pada model dan jendela konteksnya, pelaku ancaman yang memaksimalkan panggilan API dapat menghasilkan biaya ribuan dolar per hari pada satu akun korban,” Kata Keamanan Truffle.
Para peneliti memperingatkan bahwa kunci API ini telah terekspos dalam kode JavaScript publik selama bertahun-tahun, dan sekarang mereka tiba-tiba mendapatkan hak istimewa yang lebih berbahaya tanpa ada yang menyadarinya.
TruffleSecurity memindai kumpulan data Common Crawl bulan November 2025, yang merupakan cuplikan representatif dari sebagian besar situs paling populer, dan menemukan lebih dari 2.800 kunci Google API aktif yang diekspos secara publik dalam kode mereka.
Menurut para peneliti, beberapa kunci digunakan oleh lembaga keuangan besar, perusahaan keamanan, dan perusahaan perekrutan. Mereka melaporkan masalah tersebut ke Google, memberikan sampel dari infrastrukturnya.
Dalam satu kasus, kunci API yang bertindak hanya sebagai pengenal diterapkan setidaknya sejak Februari 2023 dan disematkan di sumber laman situs web produk Google yang dapat diakses oleh publik.
Sumber: TruffleSecurity
Truffle Security menguji kuncinya dengan memanggil API Gemini /model titik akhir dan mencantumkan model yang tersedia.
Para peneliti memberi tahu Google tentang masalah ini tahun lalu pada tanggal 21 November. Setelah pertukaran yang panjang, Google mengklasifikasikan kelemahan tersebut sebagai “eskalasi hak istimewa layanan tunggal” pada 13 Januari 2026.
Dalam sebuah pernyataan untuk BleepingComputer, Google mengatakan bahwa mereka mengetahui laporan tersebut dan telah “bekerja dengan para peneliti untuk mengatasi masalah ini.”
“Kami telah menerapkan langkah-langkah proaktif untuk mendeteksi dan memblokir kebocoran kunci API yang mencoba mengakses API Gemini,” a Juru bicara Google mengatakan kepada BleepingComputer.
Google menyatakan bahwa kunci AI Studio baru akan default ke cakupan khusus Gemini, kunci API yang bocor akan diblokir dari akses Gemini, dan pemberitahuan proaktif akan dikirim ketika kebocoran terdeteksi.
Pengembang harus memeriksa apakah Gemini (API Bahasa Generatif) diaktifkan pada proyek mereka dan mengaudit semua kunci API di lingkungan mereka untuk menentukan apakah ada yang terekspos secara publik, dan segera merotasinya.
Para peneliti juga menyarankan untuk menggunakan Alat sumber terbuka TruffleHog untuk mendeteksi kunci yang aktif dan terbuka dalam kode dan repositori.
Masa depan infrastruktur TI telah tiba
Infrastruktur TI modern bergerak lebih cepat dibandingkan dengan alur kerja manual.
Dalam panduan Tines baru ini, pelajari bagaimana tim Anda dapat mengurangi penundaan manual yang tersembunyi, meningkatkan keandalan melalui respons otomatis, dan membangun serta menskalakan alur kerja cerdas di atas alat yang sudah Anda gunakan.
