概要

Googleが「ウェブサイトに埋め込み可能」として公開推奨していたAPIキーが、実質的にGemini管理画面への認証キーとしても機能していたことが判明しました。この設計欠陥により、ソースコードに記載されたAPIキーを入手した攻撃者が、該当サイトの管理者権限でGeminiにアクセス可能な状態が大量に存在すると見られます。

背景と文脈

セキュリティ研究企業Truffle Securityによる調査で明かされた本件は、APIキーの権限分離設計における根本的な誤りを示しています。Googleは長年「公開可能なAPIキー」と「秘密鍵」の二層構造をベストプラクティスとしてきましたが、異なるサービス間での権限の暗黙的な融合が生じていた可能性があります。特にFirebaseやGoogleマップなど広く採用されているサービスのキーが該当するため、影響範囲は相当規模と考えられます。

今後の展望

Googleは本件に対する公式声明とパッチリリースを急ぐ必要があります。当面は、既存APIキーの権限分離機能強化と、Gemini認証の独立したキーシステムへの移行が予想されます。業界全体でも、サービス間でのキー再利用に対する警戒が強まる可能性が高いと見られます。

原文リンク: Googleが「公開してOK」と案内していたAPIキーがGeminiの認証キーにもなっているせいで個人情報垂れ流し状態のウェブサイトが大量に存在