Een gestolen Gemini-sleutel: $82.314 in 48 uur
Iemand gebruikte de Gemini-sleutel van een kleine startup. Twee dagen later stond er een rekening van $82.314,44.
Wat er gebeurde
Een startup in Mexico met drie developers gaf normaal ongeveer $180 per maand uit aan Google Cloud. Op 11 en 12 februari 2026 gebruikte iemand de Gemini-sleutel van het bedrijf, vooral voor Gemini 3 Pro Image en Text. De rekening kwam op $82.314,44.
Google support wees op het model van gedeelde verantwoordelijkheid en zei dat de startup moest betalen. Google zei tegen The Register niet of het de rekening zou kwijtschelden.
Twee weken later publiceerde Truffle Security onderzoek dat laat zien hoe dit kan. Google-sleutels die gemaakt zijn voor Maps of Firebase, en die volgens de eigen documentatie van Google "not secrets" zijn, werken ongemerkt ook voor Gemini zodra de Gemini API in hetzelfde project aan staat.
De oorzaak
Een sleutel in openbare code (of op een andere manier uitgelekt), niet beperkt tot bepaalde API's, en geen budgetgrens of waarschuwing op het account.
De schade
$82.314,44 in ongeveer 48 uur (The Register). Truffle vond 2.863 werkende Google-sleutels op openbare webpagina's die Gemini konden aanroepen.
Wat beheer anders had gedaan
Beperk elke sleutel tot de API's die hij nodig heeft. Houd AI-sleutels op de server. Zet budgetwaarschuwingen en harde quota aan. Vervang sleutels zodra je twijfelt.
Een waarschuwing over de kosten houdt de diefstal niet tegen, maar maakt de periode wel korter.
Beheer haalt niet elk risico weg. Het zorgt wel dat iemand kijkt voordat het misgaat, en dat er een back-up ligt als het toch gebeurt.
Bronnen
- Dev stunned by $82K Gemini bill after unknown API key thief goes to town
- Google API Keys Weren't Secrets. But then Gemini Changed the Rules.
Het onderzoek van Truffle Security gaat over dit soort sleutels in het algemeen, niet over deze startup.